Спасибо за подсказку. Не знал, что у бота есть какие-то разрешения. Оказывается ботопапаше нужно было ввести команду /setprivacy, выбрать бота и установить статус DISABLED.
1) Идентификаторы пользователя и его группы можно от балды писать или они обязательно должны соответствовать реальным пользователям и группам системы?
2) Если я не хочу отключать shell, то --shell=/sbin/nologin просто не писать или вместо нее что-то писать нужно?