Wie oben bereits gesagt, ein User mit *ALLOBJ kann nie ausgeschlossen werden.
Das wird nicht durch den Windows-User bestimmt sondern durch die Netzanmeldung an der AS/400.