Можно даже не делать отдельные группы для администраторов, все разрешения для каждого пользователя редактируются на вкладке администраторы. Не зависимо от группы. Можете даже обычному юзеру дать права на просмотр админки и изменение настроек. Группа влияет в основном на глобальные права, такие как доступ к форуму, просмотр разделов и написание сообщений, если я правильно понимаю

Все равно не решается вопрос защиты рутового админа. Если запретить вторичной админской группе редактировать других админов, они не смогут даже зайти в свой профиль. Можно запретить удалить Рута, но разрешение на изменение его пароля и имэйла остается.