Em um servidor de aplicação como o GlassFish ou JBoss poderíamos resolver isso usando os mecanismos padrões de segurança. Para tanto basta que você crie um connection pool, um JDBC realm e implemente autenticação via form.
Formulário:
<form method="POST" action="j_security_check">
<input type="text" name="j_username">
<input type="password" name="j_password">
</form>
Exemplo de web.xml
<login-config>
<auth-method>FORM</auth-method>
<realm-name>jdbcRealm</realm-name>
<form-login-config>
<form-login-page>/login.xhtml</form-login-page>
<form-error-page>/login.xhtml</form-error-page>
</form-login-config>
</login-config>
<security-constraint>
<web-resource-collection>
<web-resource-name>Secure Pages</web-resource-name>
<description/>
<url-pattern>/admin/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>ADMINS</role-name>
</auth-constraint>
</security-constraint>
Dito isso, esse modelo de autenticação pode não ser suficiente. Frameworks como Spring Security e Apache Shiro são comumente usados em aplicações Web para prover implementações mais completas e flexíveis de autenticação e autorização.