Eu acho que a configuração do site que Moin mencionou permite isso, aqui está a verificação relevante do guardião:
Mas no cliente, estamos enviando mensagens contraditórias
Aqui está um PR de acompanhamento para mudar para verificar canManageGroup, e também atualizar a versão do modelo de usuário de canManageGroup para ser mais sensata (o único lugar que usa isso é deste controlador de grupo):