QLMTDEVSSN beschränkt sich ausschließlich auf User mit *ALLOBJ-Berechtigung, dass diese sich nur an erlaubten Devices anmelden können.

Die andere Möglichkeit ist, die Berechtigung am Device selbst !
Dort sollte *PUBLIC auf *EXCLUDE gesetzt werden. Anschließend muss jeder Benutzer explizit mit *USE eingetragen werden.

Dies bedeutet auch, dass sich an den Devices ausschließlich bekannte und berechtigte User anmelden können.

Ein Problem kann es nur mit QPADEV-Devices geben, also dynamisch zugeordneten Terminals.
Voraussetzung ist also eine 5250-Emulation, die Named-Sessions unterstützt (CA-Express).