Как запретить менеджеру добавлять ресурс в группу, к которой у него нет доступа?

Ребята, собственно вопрос в заголовке.
Группы ресурсов используются для организации скидок. Менеджер заходит в товар и отмечает группы соответствующие акции в которой товар участвует.

Группа System используется для ресурсов типа Login и к ней доступ ограничен чтобы скрыть соответствующие ресурсы из дерева.
Так как сделать чтобы эта группа не отображалась у пользователей, у которых нет к ней доступа?