Clientauthentisierung für bestimmte awebapps mit Tomcat 5

Hallo zusammen,
ich möchte gern folgendes unter einem Tomcat 5 (openSuSE Host) umsetzen.

Für eine spezifische Webapp soll eine Authentisierung per Clientzertifikat notwendig sein.
Das Problem besteht nun im begriff "spezifisch"

Wenn ich https://webserver aufrufe soll dies ohne Clientauthentifizierung möglich sein

Wenn ich https://webserver/secure aufrufe soll jedoch ein Clientzertifikat verlangt werden

Bekannte Möglichkeit ist das Attribut "clientAuth="true"" im Connector der server.xml zu setzen, jedoch wird dies dann für ALLE webapps übernommen. Genau das möchte ich nicht.

Für Tipps wäre ich dankbar.