Поскольку требуется изоляция определенного репозитория на группу, всегда будет необходимо некоторое обслуживание, и пути для этого невелики.
Вероятно, самый простой способ достичь этого - создать цели разрешений для каждой группы (а не для разработчика) и связать каждую цель с группой, назначенной для этой группы; Когда разработчик перемещен, удалите его из группы одной команды и добавьте его в группу другой.
Если вы доверяете своим разработчикам, вы также можете создать профиль решателя для каждой группы, который будет указывать на репозиторий группы; когда разработчик перемещается, он может просто переключиться на другой профиль.