JAAS - это офигенно мощная и простая в использовании штука для авторизации и аутентификации пользователей.

Если вы поищете в Гугле, то, скорее всего, увидите эту ссылку. Так вот, так делать не надо. Почему? А потому, что ActionListener вызывается только при переходе с одной JSF-страницы на другую, но не тогда, когда JSF-страница вызывается напрямую.

Возникает логичный вопрос, а как надо? Так вот, слушайте и внимайте.