Итак вариант решения проблемы -
Создаем батник примерно следующего содержания:
runas /savecred /user:WORKSTATION\test "C:\Program Files (x86)\1cv8\common\1cestart.exe"
WORKSTATION\test - имя машины и пользователя, если у вас домен то пишется наоборот и через собаку.
C:\Program Files (x86)\1cv8\common\1cestart.exe- путь к файлу запуска 1с.
Ищем папку, где лежит база 1с, идем во вкладку безопасность, делаем владельцем пользователя test, отключаем наследование, даем ему полные права, всем остальным права удаляем.
При первом запуске с ярлыка программа запросит пароль пользователя тест - вводим его и он будет сохранен в хранилище паролей windows.
Но есть проблема - через интерфейс 1с - меню - открыть файл - пользователь будет прекрасно иметь доступ к каталогу базы с правами пользователя test и может скопировать базу.
Победить это можно - отберите права на запись у пользователя test во все директории кроме папки с базой, и своего профиля.
И еще один момент - пользователю 1с нужно урезать права не только на доступ к папкам, но и на запуск программ, и тех же батников.
Т.е разрешить запуск программ только из системных директорий в которые он не может записывать.
У него не должно быть возможности создать батник на рабочем столе и запустить его.
