У DB2 два основных варианта аутентификации - либо на клиенте, либо на сервере.
Если уж очень просто: при аутентификации на серевере вы вводите пароль и имя пользователя (такой пользователь должен быть зарегистрирован на компе где установлен сервер)
Если вы не вводите имя/пароль, то параметры, которые необходимы для аутентификации будут взяты с вашей клиентской станции автоматически.

Когда я ставлю сервак DB2 то первое что делаю - убираю ВСЕ права у PUBLIC,
оставляю только право CONNECT (И то не всегда). Далее по мере разработки даю право выполнения определенных пакетов. И всё. Мне этого - за глаза хватало. Как-то влом создавать вьюхи и грантить права на то-на сё... Слишком много времени на это на все тратится. Тоскливо.

Т.е. когда юзер подключится к базе данных - он вообще ни одной таблички не увидит, ни одного представления. И вообще ничего сделать не может. А если запустит приложение - то тогда это другое дело. Но там и логика - другая. Да и можно динамически в пакете узнать кто работает в программе.

Кстати, знаете как замечательно sequrity работает на триггерах? рекомендую.

Lepsik--NT Admin добавляя пользователей в эти группы управляет распределением прав доступа.

Это правда ?

Или потом еще надо делать создавать db users на основании этих NT users ?

Нет в DB2 такого: "CREATE USER"
Там есть только GRANT (разницу ощущаете?)
Юзеры создаются в операционке.