Настроил JAAS аутентификацию в Tomcat. Все работает кроме . . . имени и пароля пользователя на кириллице.
Использование кодировки UTF-8 не помогает. По идее, перед получением параметров формы j_username и j_password нужно выполнить 

Однако, как это сделать, если форму автоматически вызывает контейнер и он же принимает параметры, из запроса, помещая их значения в автоматически создаваемый объект, реализующий CallbackHandler. То есть на входе в мою реализацию LoginModule я уже получаю неправильную кодировку.
Фильтр на <url-pattern>/*</url-pattern> не срабатывает при возврате формы с action="j_security_check" 

Можно было бы "плюнуть" на механизмы Tomcat и реализовать аутентификацию самому через фильтр, однако при это теряется возможность задействовать стандартный механизм декларативной авторизации. Итак, в этой связи может быть два решения
  - получить имя и пароль на кирилице.
  - "просунуть" контейнеру свои объекты Principal насильственным образом, не используя форму с  "j_security_check"

однако, как это сделать не знаю. Может кто подскажет ?

Удалось решить задачу самому. Надо вставить в элемент <Context> элемент <Valve> следующим образом