Как ограничить пуш на определенные ветки на гитлабе с доступом по SSH?

ну так если ты даешь ssh доступ, то они пушаться уже не по юзеру. А если не поюзеру то и группы уже не разграничишь

ключ ssh загружается в gitlab с кабинета (настроек) пользователя. Далее под этим ключем он пушит/пулит код. В gitlabe ты настраиваешь пользователю уровень доступа к проекту (master,developer,reporter). В самом проекте можно настроить роли пользователей, которым доступен пуш в репозиторий (protected branches).
То есть, создав пользователя %user% с ролью master в роэкте (настроив protected branches на ветку master) ты разрешаешь ему пушить в мастер, все остальные пушить туда не смогут, пока ты не поднимешь привилегии других пользователей в спейсе проекта