Du erzeugst einen User und weist ihm zu User Gruppe.
Dann nimmst alle Schreibrechte in User Gruppe weg.
Und jetzt wenn dieser User sich im vis einloggt, dann darf er nichts ändern. Man kann auch eine Web Instanz starten und "Ausführen als" diesen Benutzer wählen.
Dann muss man sich auch nicht einloggen.