Использование защищенного EJB из веб-службы JAX-RS

Я использую Glassfish 4 и Jersey в качестве реализации JAX-RS. Я защитил свой EJB следующим образом:

@Stateless
@DeclareRoles({"Authentication_Reader"})
@RolesAllowed({"Authentication_Reader"})
public class AuthenticationServiceBean { 
   public void foo() {
      ... 
   }

}

Я создал запись сопоставления ролей безопасности в файле glassfish-web.xml, а также объявление роли безопасности в файле web.xml.

Следующее работает из сервлета:

@WebServlet(name = "TestServlet", urlPatterns = {"/test.do"})
@RunAs("Authentication_Reader")
public class TestServlet extends HttpServlet {

    @Inject
    private AuthenticationServiceBean authenticationService;

    public void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
       authenticationService.foo();
        .. etc ...
    }
}

Но если я сделаю это из ресурса JAX-RS, такого как этот:

@RequestScoped
@RunAs("Authentication_Reader")
@Path("test")
public class TestResource {
    @Inject
    private AuthenticationServiceBean authenticationServiceBean;

    @GET
    public String test() {
        int x = 123;  // This code executes fine
        authenticationServiceBean.foo();   // This gets an AccessLocalException
        return "I never returned this";
    }
}

Журнал сервера Glassfish в основном говорит: javax.ejb.AccessLocalException: клиент не авторизован для этого вызова

Я не понимаю, почему это работает для сервлета, а не для ресурса REST. Мне кажется, что это должно работать нормально.