Дамир, спасибо за ответ. Проверил настройку роли 'stream' в них все корректно, судя по всему read only роли перебивали Добавил роль App_* read (true) и все завелось
Можно посмотреть кто последний редактировал правило, если оно совсем дефолтное, то там дата и последний изменяющий не будет отличаться от остальных дефолтных.
Если я правильно помню, то для объектов правило выглядит - app.object_*, а к самому приложению - App_*, где вместо * легко модно поставить id объекта, т.е. тут что-то с правами на сами приложения.