есть нетривиальная задача:
дать возможность работы с документом по конкретной организации - открывать список документов, открывать документ, проводить и т.п.
НО отключить возможность открытия всего остального связанного с этой организации - счета, ответственные лица и т.п - всего что с ней связано кроме конкретных документов.

приветствуется любая лапша

ну дай права только на этот документ и метаданные, которые у него в полях.

все НУЖНЫЕ данные выгрузить в отдельный узел УРБД и разделить пользователей по разным базам

(1) у нас стоит настройка прав по организациям уже
просто так не выйдет

да, предложения поставить проверку во все формы связанных объектов не принимаются

(2) у нас наборот интеграция другой организации в нашу базу >_<

"отключить возможность открытия всего остального связанного с этой организации - счета, ответственные лица и т.п"

А потом они скажут но что бы в печатных формах выходили и счета и ответственные лица, как пить дать. И все запреты полетят к.....

(4) речь про внутренние документы - перемещение, внутренний заказ, агрегатирование - все в таком духе

и печатные формы можно переделать в конце концов если их несколько

(3) тогда забудьте про "отключить возможность открытия всего остального связанного с этой организации"

(3) так отключи все стандартные роли и сделай свои как в (1)

Или какой-нибудь признак в ПараметрыСеанса и настраивай РЛС

(8) Громоздка. У нас профили с наборами ролей и делать все заново для 2% людей не хочется ни как

(9) не совсем понял как это можно применить. Можно на пальцах?

ветка называется - я хочу свои профили роли не создавая своих профилей/ролей.

(11) у нас оч много профилей и ролей.
что можно залезть в каждый связанный объект и сделать там исключение я прекрасно понимаю. Вопрос можно ли это сделать централизованно как и работает рлс.

(12) если это один пользователь, то наплевав на "атомарность ролей" делаешь ему роль только с нужными правами и нужным rls, в предприятии делаешь профиль с этой ролью и всё.

зыЖ что такое "залезть в каждый связанный объект и сделать там исключение" - я не понимаю.

(10) Сделай роль, где все кроме ссылка, код, наименование доступно только если в отдельном РС есть для конкретного пользователя запись по конкретному объекту метаданных.

(14) в 1 роли (которую выделим под эту байду) заходим в права в каждом объекте, который связан с организацией, и проставляем  там запрет для нашего случая.

объектов которым надо дать разрешение несколько и их можно руками обработать

(15) идея. Принято, спасибо. Можно гибко настраивать на лету если что-н забыли ограничить