Чего то я не понимаю в группах ресурсов

Добрый день.
Возникла необходимость ограничить CRUD для определенных пользователей в контексте mgr для определенных ресурсов. А если человеческими словами, то чтобы каждый пользователь админки видел и мог работать только с определенными страницами.
Могу легко это сделать, внеся изменения в ядро, но решил для начала использовать уже имеющиеся инструменты.
Решил использовать ограничения по группам ресурсов, ранее никогда ими не пользовался. Но их работа показалась мне настолько нелогичным, что явно я чего то не понимаю. Опишу что делаю, а вы подскажите пожалуйста в чем неправ.

Что имеем.
modx 2.8.6
Сразу уточню, что после каждого изменения политики доступа, группы, группы ресурсов, я в меню делаю сброс всех прав. Поэтому далее в тексте не буду это каждый раз упоминать.

Создаю несколько групп пользователей. (скрин)


Создаю группу ресурсов (скрин).


Перетаскивая мышкой справа налево ресурсы. Часть ресурсов перетаскиваю, часть оставляю. Здесь начинается первое недопонимание, потому что неясно — это я перетаскиваю ресурсы которые МОЖНО видеть? Или наоборот, которые НЕЛЬЗЯ видеть? Почему я начал сомневаться, станет понятно позже по тексту.

Редактирую группу, добавляя в качестве группы ресурсов созданную группу ресурсов. (скрин).


Создаю пользователя в этой группе и авторизуюсь им в админке. В дереве ресурсов вижу ВСЕ без исключения ресурсы. Это несколько удивляет, я ожидал что буду видеть только часть. (скрин).


Дальше хуже. Я иду и редактирую группу пользователей, Удаляю привязанную категорию ресурсов полностью. Скрин.


Обновляю страницу в админке у этого пользователя и совсем уж неожиданность, вижу что в дереве ресурсов осталась ТОЛЬКО ОДНА категория. скрин.


И это уж совсем не в какие ворота, потому что во первых я УДАЛИЛ из группы пользователей связь с группой ресурсов, а во вторых, почему то видна именно та категория которой НЕ ДОЛЖНО было быть видно. Ведь когда я настраивал группу ресурсов, то все ресурсы кроме Офисы (6) перетянул справа налево.

И получается, что? Что настраивая группу ресурсов мы наоборот указываем, какие нам видеть НЕ НУЖНО?
Но почему это не сработало когда группа ресурсов была добавлена в группу пользователей? И почему «срабатывает» когда удаляю?

Ничего не понятно)
Ради эксперимента снова добавляю в группу пользователей привязку к группе ресурсов и после сохранения пользователь из этой группы снова видит ВСЕ ресурсы, как бы в насмешку над моими действиями и здравому смыслом.

В чем я ошибаюсь?
Спасибо.