ACL nezrovalosti v dedičnosti

Zdravím,

1. Rád by som nastavil Resources tak, aby jeden dedil od druhého. Konkrétne mám App:Admin (ide o rozcestník v administrácii) a User:Admin (správa užívateľov). Nastavil som to nasledovne:

$permission->addResource('App:Admin');
$permission->addResource('User:Admin', 'App:Admin');

Role mám nasledúce:

$permission->addRole('guest');
$permission->addRole('user');
$permission->addRole('module-admin', 'user');
$permission->addRole('admin', 'module-admin');

A adminovi som pridal oprávnenie pre správu užívateľov (ku ktorej sa musí dostať cez rozcestník):

$permission->allow('admin', 'User:Admin');

Do rozcestníku sa ale nedostanem:

$this->getUser()->isAllowed('User:Admin'); // TRUE
$this->getUser()->isAllowed('App:Admin'); // FALSE

Nejako nerozumiem, prečo ak User:Admin dedí od App:Admin, tzn. (ak to preženiem) mal by mať všetky „vlastnosti“ App:Admin a potom ešte niečo „svoje“ extra, nie sú obe volania isAllowed TRUE.

Skúšal som to aj otočiť, no dostal som error, že Resource už existuje.

2. Je tu ešte jedna vec, ktorú neviem pochopiť, možno len napísať. Rád by som, aby admin nemohol mazať užívateľov (môže s nimi robiť, čo chce, okrem mazania):

$permission->allow('admin', 'User:Admin');
$this->getUser()->isAllowed('User:Admin'); // TRUE
$permission->deny('admin', 'User:Admin', 'delete');
$this->getUser()->isAllowed('User:Admin'); // FALSE

Zamietnutie jedného privilégia kompletne zakáže celý resource.

Vopred veľmi pekne ďakujem za rady a vysvetlenie.