setgroup

Такой прикол, если я дам к примеру рангу superadmin флаг *, он сможет юзать !setgroup. Как сделать так, чтобы он не мог прописать себе ранг root, который выше него?? То же самый вопрос к рангу sudoroot