Вам придётся создать новый маршрут и убедиться, что к нему не имеют доступа все, кроме сотрудников и текущего пользователя. Это, вероятно, гораздо сложнее, чем просто сериализовать данные в том месте, где вы находитесь.
Я думаю, это можно сделать примерно так:
add_to_serializer(:user, :manager_status) {
return object.manager_status if object.admin || object.staff
}
Сходу можно сказать, что, возможно, придётся немного потрудиться, чтобы получить объект текущего пользователя и проверить совпадение.