вход пользователя только по ssh с паролем/ключем

Написать свой PAM-модуль, который будет сверяться со списком разрешённых пользователей и вписать его везде, где надо.

А какой еще у вас есть доступ к системе? С локальной консоли? FTP?

ssh и локальный. я вот хочу чтобы человек локальную консоль не занимал, а по ссш пусть работает сколько хочет...

Права поставь строгие на консольные терминалы, а на ssh-овские нормальные оставь.

а можно поточнее... где на это ставятся права?

Наверное проще всего попрвить /etc/profile, если bash, то как нибудь так:

if [[ `tty` == /dev/tty* ]] ; then if [[ " vasa peta vova " == *" $USER "* ]] ; then echo "User $USER can't login on this console" sleep 10 exit fi fi