Hola, hay una regla que se llama 'Stream' y que da acceso a todas las apps si puedes ver el stream. Puedes hacer una copia de esta regla y deshabilitar la regla por defecto (por mantener un copia).

No lo he probado pero el cambio podría ser:

(resource.resourcetype = "App" and resource.stream.HasPrivilege("read") and (user.name!="User Test" or resource.app.stream.name!="NombreStream" or resource.name = "NombreApp")) or ((resource.resourcetype = "App.Object" and resource.published ="true" and resource.objectType != "app_appscript" and resource.objectType != "loadmodel") and resource.app.stream.HasPrivilege("read"))