dejte jim jako defaultni shell /bin/false . nezapomente si ho dopsat do
> /etc/shells

Každopádně bych je ještě přidal do sshd_config jako DenyUsers,
protože přidělený shell lze obejít