El privilegio de denegación prevalece sobre el de autorización, entonces solo deberas denegar el privilegio de eliminar en los repositorios requeridos.
La única precaución seria revisar que los privilegios otorgados no permitan al usuario auto-modificar sus propios permisos en ese recurso.
Su "marcar como respuesta" es mi sueldo :D
