CityCat4

Запустить sshd без перехода в фон и с отладкой и посмотреть, что он напишет по поводу того, почему он denied.

Возможные причины:
- не согласовались шифронаборы (редкая, но возможная - либо очень старый клиент, либо очень старый сервер)
- пользователи разрешаются поименно, то есть если у меня в конфиге стоит :
AllowUsers rmbackup testonlytt
то хоть тресни, а никто кроме этих двоих не подключится

Ну то есть некоторые системные команды? Есть несколько способов:
- Если бинарь в /sbin, /usr/sbin - просто исключить эти пути из PATH в .bashrc у юзера
- Если бинарь в /bin, /usr/bin - можно создать папку /bin в домашке юзера, накидать туда пустышек (линков с true например) и поставить ее первой в PATH
- Дать юзеру другой шелл, не bash :)

Наверное создать им эти ключи.
man ssh-keygen