Was ist bei euch ein iSeries-Nutzer?
Wenn er noch die AS/400-Anwendungen per 5250 benötigt muss er sich auch anmelden können.
Mit Anmeldung INLMNU(STARTPGM) macht LMTCPB(*YES) Sinn um eine Kommandozeile zu verhindern.
Per INLMNU(*SIGNOFF) ist LMTCPB egal, da man ja nicht auf eine Kommandozeile kommt.
Im IFS reicht die Leseberechtigung (R) für Dateien und Lese-/Ausführungsberechtigung (RX) für Verzeichnisse.
Um Zugriffe per FTP/ODBC zu sperren bedarf es schon etwas komplexerer Objektberechtigungen, am einfachsten wäre hier ein *PUBLIC *EXCLUDE für sämtliche Lib's.