Nochmal eine andere Frage zur Benutzerverwaltung

Ich habe eine Rolle mit Hilfsadmins. Diese sollen neue Benutzer anlegen können UND diesen einer Rolle zuordnen. Das geht einwandfrei wenn die Rolle Hilfsadmins das Recht Zugriffskontrolle verwalten hat.

Leider haben die Hilfsadmins dann auch das Recht den Rollen eben andere Rechte zu erteilen, das will ich nicht.

Wie kriege ich es also hin das die Hilfsadmins zwar neuen Benutzern eine Rolle zuordnen können aber eben nicht die eigentlichen Rechte einer Rolle ändern zu dürfen ?