ну вот мы и пришли к тому с чего начинали, что самый простой варинт - это не выёживаться и добавить юзера как девелопера в проект, и настроить отдельные енвы для протектед бренчей)
а аппрувов так и нет
То, что я предложил (с двумя уровнями групп) - не сильно сложнее и имеет твои хотелки