Разрешить доступ winscp, ограничить прямой доступ к оболочке, разрешить su - для локального пользователя сервера Linux

Можно ли ограничить доступ для конкретного локального пользователя в Linux при следующих условиях:

Пользователь не должен иметь прямого доступа к оболочке
Пользователь должен иметь возможность войти с помощью команды «su -» из любой другой пользовательской оболочки.
Пользователь должен иметь возможность выполнять SFTP через клиент winscp и копировать файлы с локального компьютера в домашний каталог пользователя.

Когда вы говорите об отсутствии прямого доступа к оболочке, я предполагаю, что ограничение применяется только в отношении входа в систему по ssh?

Если это так, самым простым решением будет принудительное использование только SFTP в вашем / и т.д. / SSH / sshd_config.

Match User oracle
      ForceCommand internal-sftp