Настройка дуступа

Всем привет.
Есть задача. Запретить удалять родителей, но при этом сохранить возможность создавать и удалять дочерние ресурсы.
Что сделал:
1. Создал группу ресурсов и добавил туда родителей.
2. Создал политику доступа, в которой запретил удалять ресурсы.
3. Добавил эти настройки соответствующему пользователю (группе пользователей)

И вот нюанс, при создании дочернего ресурса, он автоматически попадает в эту же группу ресурсов и соответственно его так-же нельзя удалить. Может не где то надо галочку поставить, что бы не попадали они под туже политику.
Все заранее спасибо!