Можно добавить роль с правами только на чтение, но не хочу снимать конфигурацию с поддержки.
Если через расширение - это придется тащить все объекты в расширение.
Может есть еще какой то выход?

Дай доступ к копии, которую перезаливай еженочно

(0) попросить поставщика сделать роль только на чтение :)

Брать на работу только немцев-педантов со 100% лояльностью к компании. Вообще куча проблем с ролями и интерфейсами на тему "держите его семеро" к программированию не относятся. На машине вам руль электросваркой никто не приваривает только прямо, но при этом на дороге двойная сплошная и вы ее не пересекаете.

(1) Это вариант. Но боюсь читателям прям онлайн-онлайн нужно будет.

(3) Там понимаешь они хотят ИИ бота натравить на базу, а он там натворить многое может.

Подписки перед записью?

(6) А при записи через OData подписки интересно сработают?

(7) а через OData можно записывать?

(8) Очень можно.
(0) Запили http сервис в расширении

(0) мы отказались от одата внешнего поставщика заказов именно поэтому - не смогли ограничить доступ по этому протоколу

HTTP сервис - работает

(0) отрубить POST, PUT, PATCH и DELETE на уровне веб-сервера.

(0) сейчас расширения можно клепать из XML, поищи технологию, где-то выкладывали. Туда можно включить соответственно все объекты.

Но не знаю какая конфа, а есть же роли в типовых Чтение того-то, Чтение того-то, все их собрать в один профиль и дать юзверю этому.

(0) Простейше это обернуть в свой http-сервис в расширении
Клиент пусть вызывает его а ты уже или вызываешь OData
Или возвращаешь данные аля OData