Можно добавить роль с правами только на чтение, но не хочу снимать конфигурацию с поддержки.
Если через расширение - это придется тащить все объекты в расширение.
Может есть еще какой то выход?

Дай доступ к копии, которую перезаливай еженочно

(0) попросить поставщика сделать роль только на чтение :)

Брать на работу только немцев-педантов со 100% лояльностью к компании. Вообще куча проблем с ролями и интерфейсами на тему "держите его семеро" к программированию не относятся. На машине вам руль электросваркой никто не приваривает только прямо, но при этом на дороге двойная сплошная и вы ее не пересекаете.

(1) Это вариант. Но боюсь читателям прям онлайн-онлайн нужно будет.

(3) Там понимаешь они хотят ИИ бота натравить на базу, а он там натворить многое может.

Подписки перед записью?

(6) А при записи через OData подписки интересно сработают?

(7) а через OData можно записывать?

(8) Очень можно.
(0) Запили http сервис в расширении

(0) мы отказались от одата внешнего поставщика заказов именно поэтому - не смогли ограничить доступ по этому протоколу

HTTP сервис - работает