Добавляешь открытый ключ юзера в .ssh/authorized_keys

Не добавляешь открытый ключ юзера в .ssh/authorized_keys

Не добавляешь открытый ключ юзера в .ssh/authorized_keys

лучше изменить место хранения ключей в /etc/ssh/sshd_config так, чтобы пользователи могли только читать оттуда

Хочу настроить одной половине пользователей вход по ключу, а второй по паролю

Тебе бензопилу посоветовать? Пользователи-то хоть живые? Требуется ли, что бы после операции они были живы?

Кароче вопрос ниочём.

Хочу настроить одной половине пользователей вход по ключу, а второй по паролю?

Это таки вопрос? Тогда нет.

лучше изменить место хранения ключей в /etc/ssh/sshd_config так, чтобы пользователи могли только читать оттуда

зачем? а если пользователь захочет самолично поменять свой ключ (или добавить ещё один. например у одного пользователя есть два клиентских компа, и на каждом компе свой SSH-ключ)..

..какой смысл это запрещать если пользователь УЖЕ имеет доступ к системе?

вот что я вам скажу: вы с этой манией контроля — иногда просто перегибаете палки. :-)

думаете что излишний контроль делает сервер более безопасным? а на практиве в итоге оказывается что это только уменьшает безопасность сервера :-) ..

излишнее перекрытие свободы пользователю — это уменьшение его безопасности (потому-что: пользователь не может реализовать полностью свою схему безопасного хранения ключа\пароля, и реализовывает схему частично с уступками, прогибаясь под тугие правила сервера). а умньшение безопасности ипользователя — это уменьшение безопасности сервера (потому-что: взломают пользователя, затем взломают сервер).

RTFM

man sshd_config

Match

Introduces a conditional block. If all of the criteria on the Match line are satisfied, the keywords on the following lines override those set in the global section of the config file, until either another Match line or the end of the file.

А если нужны очень-очень извращения, то можешь просто поднять два sshd на разных портах с разными конфигами.

Если подразумевается что пользователи входящие по ключу не должны мочь входить по паролю то вроде никак. Иначе просто разложи ключи пользователям в хомяки.

Если подразумевается что пользователи входящие по ключу не должны мочь входить по паролю то вроде никак

Можно просто сделать их пароль пустым. Или случайным, но не сообщать его юзерам. Например.