Bei Standardberechtigungen steht ja eigentlich alles auf *PUBLIC *USE. Somit kommen auch die QTM-Profile an alle Anwendungsdaten.
Mit dem "App"-User und Ausführung *OWNER gibt es keinesfalls Probleme.
Man sollte jedoch nicht auf die Idee verfallen, allen "externen" Usern der Web-Anwendung AS/400-Profile zuzuweisen. Das kann schnell in die Millionen gehen und sprengt de Rahmen.
Hier ist eine eigene User/Kennwort-Verwaltung erforderlich.