Мы сделали чуть иначе, -Djava.rmi.server.hostname=localhost и -Dcom.sun.management.jmxremote.authenticate=false (всегда!), а пользователи для мониторинга подключаются через SSH-туннель (что легко скриптуется, если надо).
Подцепился к jstatd через VisualVM — возможностей профилирования даже меньше чем через jmx (есть только возможность посмотреть графики кучу+перм, тредов, класслоадера и параметры jvm).
Но очень сильно порадовала возможность видеть сразу все процессы! :-)
Рецепт настройки удалённого мониторинга контейнеров Tomcat и Jetty штатными средствами JDK