Controle de acesso sistema web

Como fazer, por exemplo, com que o administrador tenha acesso a todo o sistema e o vendedor visualize e tenha acesso apenas ao cadastro de clientes e produtos?

voce pode fazer os campos ficarem inativos (que somente o SysAdm ira utilizar) o Funcionario teria acesso a pagina normalmente
porem somente aos campos que lhe são de interesse...
esta condição pode ser passada como regra de negocio por exemplo crie uma class BOUsuario e valide o tipo de usuario e acesso a partir dai...

Indo um pouco mais além, imaginando um cadastro com clientes de várias regiões, como fazer com que um vendedor logado somente consiga visualizar os clientes de sua região?

voce pode tratar isto diretamente no BD ex..
voce tera um campo na sua tabela usuario (Vendedor) com os respectivos campos
um deles sendo endereço provavelmente tera Estado ex SP.

na sua aplicação voce trata na hora de realizar o select..ex

String sql = "select ES_CLIENTE from CLIENTE_SISTEMA where ES_CLIENTE= (?)";

			st = conn.prepareStatement(sql);
			st.setInt(1, p.getEstadoUsuario());
			ResultSet rs = st.executeQuery();

ES_USUARIO seria uma FK em clientes ussando como referencia a coluna ES_CLIENTE
aonde voce diria para seu banco que todo cliente possui um vendedor especifico ... por região estado no caso

e retorna os estados filtrados em um arrayList sei lá onde voce exibe num grid ou comboBox ai vai da sua imaginação
espero ter dado uma Luz ...
qualquer coisa vai postano os codigo que estamos ai:D

Voce poderia ussar o Hibernate para persistir os dados
VRaptor para MVC…
richFaces não sei …
inicialmente seria isto…

caso queira usar framework de segurança tem o spring security

Eu li um artigo sobre o Spring Security e achei bastante interessante ao ponto de pensar em incluí-lo no sistema.
Porém surgiu uma dúvida.
O artigo diz que as funcionalidades disponíveis a cada perfil de acesso devem estar armazenadas em diretórios distintos e então o usuário tem ou não permissão de acesso ao diretório.
A dúvida se relaciona às funcionalidades comuns a mais de um tipo de perfil. Como ficaria?
No exemplo que citei, supondo que o Cadastro de Clientes pudesse ser acessível também a usuários com perfil de Administrador como também a usuário com perfil de Vendedor, como ficaria a aplicação?

Vc parece que esta com duvida de “como” fazer e “com o que fazer”.
Aconselho vc a ler alguns artigos e ver alguns exemplos antes de decidir algo. Segue ai minha sugestão: http://fernandofranzini.wordpress.com/2009/09/09/autenticacao-e-autorizacao/

Aproveitando o tópico…
E se tivesse a necessidade de restringir o acesso ainda mais, não filtrando por tipo de usuários mais pelas permissões de acesso de cado um.
Por Exemplo:

1. Cadastro de usuários
2. Cadastro de clientes
3. Cadastro de vendedores
4. Cadastro de produtos

Supondo que.:
O usuario 1 teria acesso a Cadastro de usuários e Cadastro de produtos.
O usuario 2 teria acesso a Cadastro de vendedores.
O usuario 3 teria acesso a Cadastro de clientes.

como seria uma implementação pra esse tipo de situação?