Управление пользователями Tomcat с помощью Spring Security

Управление пользователями через сервер приложений (при том, что Tomcat - это контейнер сервлетов) - путь Java EE. Spring - самодостаточная технология, которая не требует серьезной серверной обвязки. Предлагаю посмотреть в сторону интеграции вашей системы с сервисом управления доступом. Например, OpenLDAP + midPoint. С первым вы всегда можете работать через LDAP коннектор в Spring Security (документация). А midPoint может быть использован в качестве единого сервиса управления пользователями и контроля доступа (документация).

Update

Относительно вашей ситуации с audio: наличие данного тега на странице должно регулироваться настройками доступа в приложении, а не из Tomcat. И почему у вас ресурсы стримятся через Tomcat? Доставку также можно организовать через приложение.