Строго говоря, разрешения находятся на стороне Oracle с учетными данными, используемыми для подключения. Вы ограничите права на чтение только там.
Как только связанный сервер становится видимым в SQL Server, люди могут использовать его, как таблицу: но без каких-либо разрешений на стороне SQL Server связанный сервер не является защищаемым объектом.