in linea di principio da quanto dici stai lavorando al rovescio..
invece che
negare tutto salvo che...
è preferibile partire da una situazione che ti permette di
autorizzare solo quello che....
quindi parti con l'utente predefinito minimo, in teoria anche per l'accesso al pannello admini si potrebbe agire come sopra, esempio:
gruppo utenti registered
nessuno accedo al pannello amministrativo salvo che il sottogruppo registered-vendors
e quindi una volta dentro
abilita il sottogruppo alla sola visualizzazione di....
mentre tutto quello che non modifichi resta negato di default..
direi che ora applicarlo al tuo caso occorre verificare da quale gruppo di default partire, io ho fatto un esempio con registered ma non saprei se va bene..