TEAPACK: Jinak ale řešení pokud chceš jednoho uživatele nebo menší blacklist (a nechceš tedy přidávat postupně jednoho uživatele co to smí používat po druhém), zkus ty co nesmí hodit do speciální skupiny a nastavit jim 000 přes ACL
https://wiki.archlinux.org/index.php/Access_Control_Lists
Pochopitelně jim pak musíš zakázat spouštět vlastní binárky – mít jejich domovské adresáře připojené jako noexec, aby si nemohli nahrát vlastní binárky ssh. To samé s /tmp/ a vlastně všude kam smí uživatel zapisovat. A vzhledem k tomu že ani pak nemůžeš mít úplnou jistotu, nesmíš jim dát klíče na ostatní nody, nebo dávat hesla :)