Actualmente tengo una aplicación web monolítica heredada de 15 años con cerca de 1 millón de usuarios, utilizando un sistema de autorización y autenticación local: JAAS, nombres de usuario y pwds almacenados en una base de datos con hashing básico de contraseñas, algunas preguntas de verificación...