У пользователя есть несколько ролей, в т.ч. "Пользователь", для которой определено правило RLS на справочник Номенклатура на чтение. У других ролей правил нет. Для чистоты эксперимента я вообще запрещаю доступ к справочнику (Номенклатура   ГДЕ Ложь) . Проверяю - справочник пуст. Но если добавить некоторые роли (без правил), то справочник виден. Подскажите, где найти, каким образом добавленная пользователю роль позволяет видеть справочник ? Это программно или в настройках конфы (я не нашел) ? я так понимаю, при разных правилах результат разрешения доступа должен быть пересечением результатов для каждой роли ? или объединением ?

это всё мозгом. если где-то разрешено, значит, можно

Объединением