Nun ja, ganz so einfach ist es leider meistens nicht.

Wenn sich der User nämlich auch direkt an der AS/400 anmelden und ein Anwendungsmenü aufrufen kann, benötigt er ggf. die Datenberechtigungen um mit der Anwendung überhaupt arbeiten zu können.

Das Thema ist auch schon häufiger diskutiert worden:

Richtige Lösung:
Alle Dateien einem sog. AppUser zuordnen und *PUBLIC auf *EXCLUDE.

Alle Programme als Eigner des AppUsers erstellen bzw. ändern und USRPRF(*OWNER) eintragen.

Dann stellt sich die Frage nicht mehr.

Ansonsten gibt es nur noch Hilfsprogramme wie PCSACC/400, die auf Schnittstellen (WRKREGINF) aufsetzen und eben diese Berechtigungen verwalten.

Eine andere Chance hast du leider nicht.