Empfehlenswert ist da PCSACC/400, die machen das schon lange.
Was die 2000 anderen User angeht, so wird immer wieder hier vom sog. APP-User geredet.
Für die Anwendung gibt es einen speziellen User und Eigner der Applikation.
Ausschließlich dieser hat Berechtigung an den Objekten, Public ist generell *Exclude.
Alle APP-Programme laufen mit *OWNER-Berechtigung.
Und schon hast du dein System (fast) dicht.