Iñigo GonzálezIT Operations · Infra

GuíasGuides · Sector 2Sector 2

AS400: alta y gestión de usuarios en IBM iAS400: creating and managing users on IBM i

Cómo se crea un perfil de usuario en IBM i para el ERP de una cadena de tiendas: clases de usuario y autorizaciones especiales, perfiles de grupo, programa inicial, restablecer contraseñas, perfiles inhabilitados por QMAXSIGN, el emulador 5250 de Access Client Solutions y las bajas.How to create an IBM i user profile for a store chain's ERP: user classes and special authorities, group profiles, initial program, password resets, profiles disabled by QMAXSIGN, the Access Client Solutions 5250 emulator and leavers.

Sector 2Sector 2 · AS400 - Alta y gestión de usuariosAS400 - Creating and managing users · 6 min6 min read · ActualizadoUpdated 28 oct 202628 Oct 2026

Qué vas a conseguir

Dar de alta, mantener y dar de baja usuarios en el IBM i (el AS400 de siempre) donde corre el ERP: pedidos a almacén, stock, precios y a veces la contabilidad. En muchas cadenas de tiendas sigue siendo el corazón del negocio y lo usan a la vez la oficina central, los jefes de área y el encargado desde el PC de trastienda. El soporte de primer nivel recibe sobre todo dos cosas: altas y "no puedo entrar".

Antes de empezar

  • Un perfil con autorización especial *SECADM (y autoridad sobre los perfiles que vas a tocar) para crear y cambiar usuarios. No uses QSECOFR para el día a día.
  • La convención de nombres: los perfiles tienen como máximo 10 caracteres, por ejemplo LPRADO.
  • Los perfiles de grupo por rol que ha definido el equipo de aplicaciones (por ejemplo GRPTIENDA, GRPCOMPRAS, GRPADMIN).
  • IBM i Access Client Solutions (ACS) instalado en los PC que lo usan, con la configuración del sistema ya creada.

1. Lo que define un perfil de usuario

ParámetroQué controlaValor típico para tienda
USRCLSClase de usuario: *USER, *SYSOPR, *PGMR, *SECADM, *SECOFR*USER
SPCAUTAutorizaciones especiales (*ALLOBJ, *SECADM, *JOBCTL, *SPLCTL, *SAVSYS, *SERVICE, *AUDIT, *IOSYSCFG)*NONE
GRPPRFPerfil de grupo del que hereda autoridadesGRPTIENDA
INLPGMPrograma inicial que se ejecuta al entrarEl menú del ERP
INLMNUMenú inicial*SIGNOFF (al salir del programa, sale de la sesión)
LMTCPBLimitar capacidades: no puede ejecutar mandatos en la línea de mandatos*YES
PWDEXPContraseña caducada: obliga a cambiarla en el primer inicio*YES
  • Un usuario de tienda nunca necesita autorizaciones especiales. Si alguien pide *ALLOBJ "para que le funcione", el problema es la autoridad de un objeto, y se resuelve en el grupo.
  • INLPGM + INLMNU(*SIGNOFF) + LMTCPB(*YES) es la combinación que deja al usuario dentro del menú del ERP, sin línea de mandatos.

2. Crear el perfil

Emulador 5250 · línea de mandatos
CRTUSRPRF USRPRF(LPRADO) PASSWORD(********) PWDEXP(*YES) STATUS(*ENABLED) USRCLS(*USER) INLPGM(ERPLIB/MNUTIENDA) INLMNU(*SIGNOFF) LMTCPB(*YES) TEXT('Laura Prado - Encargada Tienda 042') SPCAUT(*NONE) GRPPRF(GRPTIENDA) OWNER(*GRPPRF)Perfil de usuario LPRADO creado.DSPUSRPRF USRPRF(LPRADO) Perfil de usuario . . . . . . . . . . :   LPRADO Estado . . . . . . . . . . . . . . . . :   *ENABLED Clase de usuario . . . . . . . . . . . :   *USER Autorización especial  . . . . . . . . :   *NONE Perfil de grupo  . . . . . . . . . . . :   GRPTIENDA Programa inicial . . . . . . . . . . . :   MNUTIENDA   Biblioteca . . . . . . . . . . . . . :     ERPLIB Menú inicial . . . . . . . . . . . . . :   *SIGNOFF Limitar posibilidades  . . . . . . . . :   *YES
  • Si el ERP necesita más (almacén por defecto, tienda asignada), suele ir en una tabla del propio ERP, no en el perfil. Pregunta al equipo de aplicaciones qué falta tras el CRTUSRPRF.
  • Para cambiar algo después se usa CHGUSRPRF con los mismos parámetros, y WRKUSRPRF USRPRF(L*) para ver y trabajar con varios perfiles a la vez.
  • Para un segundo grupo, SUPGRPPRF admite hasta 15 grupos suplementarios. Úsalo poco: cada grupo extra es una autoridad más que revisar.

3. Acceso con Access Client Solutions

  1. En ACS, la configuración del sistema apunta al nombre del IBM i (por ejemplo srv-ibmi01) y usa TLS (puerto 992) si el sistema lo tiene configurado.
  2. El usuario abre Emulador 5250, entra con su perfil y la contraseña inicial, y el sistema le pide la nueva.
  3. Si se configura un nombre de dispositivo fijo por puesto (por ejemplo T042PC01), es más fácil saber desde qué tienda se conecta cada sesión.
  4. Desde casa o de viaje, el emulador funciona igual a través de la VPN.

4. Contraseñas y perfiles inhabilitados

El valor del sistema QMAXSIGN fija cuántos intentos de inicio fallidos se permiten (3 por defecto) y QMAXSGNACN qué pasa al llegar al límite: inhabilitar el dispositivo, el perfil o ambos. Cuando se inhabilita el perfil, su estado pasa a *DISABLED y queda un mensaje CPF1393 en la cola QSYSMSG (si existe) y en el histórico.

Para restablecer la contraseña y habilitar el perfil a la vez:

CHGUSRPRF USRPRF(LPRADO) PASSWORD(********) PWDEXP(*YES) STATUS(*ENABLED)

Antes de restablecer, confirma la identidad: llamada al móvil que consta en RR. HH. o validación del jefe de área. La tienda es un sitio donde cualquiera puede llamar diciendo ser el encargado.

5. El ticket: "el perfil está inhabilitado / CPF1394 al iniciar sesión"

Lunes, 9:10. El encargado de la tienda 042 llama: el emulador le dice "El perfil de usuario LPRADO no puede iniciar la sesión" (mensaje CPF1394).

Emulador 5250 · diagnóstico
DSPUSRPRF USRPRF(LPRADO) Perfil de usuario . . . . . . . . . . :   LPRADO Inicio de sesión anterior  . . . . . . :   26/10/26  20:41:07 Intentos de inicio no válidos  . . . . :   3 Estado . . . . . . . . . . . . . . . . :   *DISABLED Fecha de último cambio de contraseña . :   01/09/26DSPSYSVAL SYSVAL(QMAXSIGN) Máximo de intentos de inicio de sesión . :   3
  1. **Estado *DISABLED con 3 intentos no válidos**: alguien falló la contraseña tres veces. Puede ser él mismo, un compañero en el PC de trastienda o una contraseña guardada en un script de ACS antiguo.
  2. Pregunta antes de habilitar: ¿cambió la contraseña hace poco?, ¿la comparte con alguien? Si la caducidad (QPWDEXPITV) coincide con el fin de semana, es lo de siempre.
  3. Restablece y habilita con el CHGUSRPRF del apartado anterior, con PWDEXP(*YES) para que la cambie él.
  4. **Si el perfil está *ENABLED y aun así no entra: puede estar inhabilitado el dispositivo** (según QMAXSGNACN). WRKCFGSTS CFGTYPE(*DEV) CFGD(T042PC01) muestra su estado y VRYCFG CFGOBJ(T042PC01) CFGTYPE(*DEV) STATUS(*ON) lo vuelve a activar.
  5. Si se repite cada semana con el mismo usuario, revisa el histórico (DSPLOG) para ver desde qué dispositivo llegan los intentos fallidos: suele ser un PC con la sesión de otra persona.

6. Bajas y revisión mensual

En la baja, primero se inhabilita, y se borra más tarde, cuando el equipo de aplicaciones confirme que no posee objetos ni trabajos planificados:

  1. El día de la baja: CHGUSRPRF USRPRF(MGIL) STATUS(*DISABLED).
  2. WRKOBJOWN USRPRF(MGIL) para ver qué objetos posee.
  3. Pasado el plazo acordado (30 días, por ejemplo): DLTUSRPRF USRPRF(MGIL) OWNOBJOPT(*CHGOWN GRPTIENDA) para transferir esos objetos en lugar de borrarlos.

Cada mes:

  • ANZPRFACT (o un informe equivalente) para inhabilitar perfiles sin actividad en los últimos 60 o 90 días.
  • Perfiles con autorizaciones especiales: deben ser pocos y nominales, ninguno de tienda.
  • Cruce con las bajas de RR. HH.: un perfil activo de alguien que ya no está es un hallazgo de auditoría.

Siguientes pasos

  • La guía de alta de usuario sitúa el perfil del ERP dentro de la incorporación completa.
  • Active Directory cubre la cuenta corporativa que debe existir antes del perfil de IBM i.
  • Cisco AnyConnect (VPN) explica el acceso al emulador desde fuera de la oficina.
  • ISO 27001/NIS2/RGPD en IT ayuda a justificar la revisión periódica de accesos.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.

What you'll get

Create, maintain and remove users on the IBM i (the classic AS400) where the ERP runs: warehouse orders, stock, prices and sometimes accounting. In many store chains it is still the heart of the business, used at the same time by head office, area managers and the store manager from the back-office PC. First-line support gets mostly two things: new users and "I can't get in".

Before you start

  • A profile with the *SECADM special authority (and authority over the profiles you will change) to create and change users. Don't use QSECOFR for daily work.
  • The naming convention: profiles are 10 characters at most, for example LPRADO.
  • The group profiles per role defined by the applications team (for example GRPTIENDA, GRPCOMPRAS, GRPADMIN).
  • IBM i Access Client Solutions (ACS) installed on the PCs that use it, with the system configuration already created.

1. What a user profile defines

ParameterWhat it controlsTypical value for a store
USRCLSUser class: *USER, *SYSOPR, *PGMR, *SECADM, *SECOFR*USER
SPCAUTSpecial authorities (*ALLOBJ, *SECADM, *JOBCTL, *SPLCTL, *SAVSYS, *SERVICE, *AUDIT, *IOSYSCFG)*NONE
GRPPRFGroup profile it inherits authorities fromGRPTIENDA
INLPGMInitial program run at sign-onThe ERP menu
INLMNUInitial menu*SIGNOFF (leaving the program ends the session)
LMTCPBLimit capabilities: can't run commands from the command line*YES
PWDEXPPassword expired: forces a change at first sign-on*YES
  • A store user never needs special authorities. If someone asks for *ALLOBJ "so it works", the problem is an object's authority, and it is fixed in the group.
  • INLPGM + INLMNU(*SIGNOFF) + LMTCPB(*YES) is the combination that keeps the user inside the ERP menu, with no command line.

2. Create the profile

5250 emulator · command line
CRTUSRPRF USRPRF(LPRADO) PASSWORD(********) PWDEXP(*YES) STATUS(*ENABLED) USRCLS(*USER) INLPGM(ERPLIB/MNUTIENDA) INLMNU(*SIGNOFF) LMTCPB(*YES) TEXT('Laura Prado - Manager Store 042') SPCAUT(*NONE) GRPPRF(GRPTIENDA) OWNER(*GRPPRF)User profile LPRADO created.DSPUSRPRF USRPRF(LPRADO) User profile . . . . . . . . . . . . :   LPRADO Status . . . . . . . . . . . . . . . :   *ENABLED User class . . . . . . . . . . . . . :   *USER Special authority  . . . . . . . . . :   *NONE Group profile  . . . . . . . . . . . :   GRPTIENDA Initial program  . . . . . . . . . . :   MNUTIENDA   Library  . . . . . . . . . . . . . :     ERPLIB Initial menu . . . . . . . . . . . . :   *SIGNOFF Limit capabilities . . . . . . . . . :   *YES
  • If the ERP needs more (default warehouse, assigned store), it usually lives in a table of the ERP itself, not in the profile. Ask the applications team what is missing after the CRTUSRPRF.
  • To change something later, use CHGUSRPRF with the same parameters, and WRKUSRPRF USRPRF(L*) to view and work with several profiles at once.
  • For a second group, SUPGRPPRF accepts up to 15 supplemental groups. Use it sparingly: each extra group is one more authority to review.

3. Access with Access Client Solutions

  1. In ACS, the system configuration points to the IBM i name (for example srv-ibmi01) and uses TLS (port 992) if the system has it configured.
  2. The user opens the 5250 Emulator, signs on with their profile and the initial password, and the system asks for a new one.
  3. If you set a fixed device name per workstation (for example T042PC01), it's easier to tell which store each session comes from.
  4. From home or on the road, the emulator works the same way through the VPN.

4. Passwords and disabled profiles

The QMAXSIGN system value sets how many failed sign-on attempts are allowed (3 by default) and QMAXSGNACN what happens at the limit: disable the device, the profile or both. When the profile is disabled, its status becomes *DISABLED and a CPF1393 message is left in the QSYSMSG queue (if it exists) and in the history log.

To reset the password and enable the profile in one go:

CHGUSRPRF USRPRF(LPRADO) PASSWORD(********) PWDEXP(*YES) STATUS(*ENABLED)

Before resetting, confirm identity: a call to the mobile number HR holds, or validation by the area manager. A store is a place where anyone can phone in claiming to be the manager.

5. The ticket: "user profile is disabled / CPF1394 at sign-on"

Monday, 9:10. The manager of store 042 calls: the emulator says "User profile LPRADO cannot sign on" (message CPF1394).

5250 emulator · diagnosis
DSPUSRPRF USRPRF(LPRADO) User profile . . . . . . . . . . . . :   LPRADO Previous sign-on . . . . . . . . . . :   26/10/26  20:41:07 Sign-on attempts not valid . . . . . :   3 Status . . . . . . . . . . . . . . . :   *DISABLED Date password last changed . . . . . :   01/09/26DSPSYSVAL SYSVAL(QMAXSIGN) Maximum sign-on attempts allowed . . :   3
  1. **Status *DISABLED with 3 invalid attempts**: someone got the password wrong three times. It may be them, a colleague on the back-office PC or a password saved in an old ACS script.
  2. Ask before enabling: did they change the password recently? Do they share it with anyone? If the expiry (QPWDEXPITV) fell over the weekend, it's the usual story.
  3. Reset and enable with the CHGUSRPRF from the previous section, with PWDEXP(*YES) so they change it themselves.
  4. **If the profile is *ENABLED and they still can't get in: the device** may be disabled (depending on QMAXSGNACN). WRKCFGSTS CFGTYPE(*DEV) CFGD(T042PC01) shows its status and VRYCFG CFGOBJ(T042PC01) CFGTYPE(*DEV) STATUS(*ON) varies it back on.
  5. If it happens every week with the same user, check the history log (DSPLOG) to see which device the failed attempts come from: it's usually a PC with someone else's session.

6. Leavers and monthly review

For a leaver, first disable, and delete later, once the applications team confirms the profile owns no objects or scheduled jobs:

  1. On the leaving date: CHGUSRPRF USRPRF(MGIL) STATUS(*DISABLED).
  2. WRKOBJOWN USRPRF(MGIL) to see which objects it owns.
  3. After the agreed period (30 days, for example): DLTUSRPRF USRPRF(MGIL) OWNOBJOPT(*CHGOWN GRPTIENDA) to transfer those objects instead of deleting them.

Each month:

  • ANZPRFACT (or an equivalent report) to disable profiles with no activity in the last 60 or 90 days.
  • Profiles with special authorities: they should be few and named, none of them in stores.
  • A cross-check against HR leavers: an active profile for someone who has left is an audit finding.

Next steps

  • The new starter guide places the ERP profile within the complete onboarding.
  • Active Directory covers the corporate account that should exist before the IBM i profile.
  • Cisco AnyConnect (VPN) explains access to the emulator from outside the office.
  • ISO 27001/NIS2/RGPD in IT helps justify the periodic access review.

Is something missing, or different in your environment? Get in touch and I'll fix it.

Tech Career Lab · newsletter

¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.

Apúntate y llévate las 33 ideasSign up and get the 33 ideas →