In der Manpage von sshd sind im Abschnitt AUTHORIZED_KEYS FILE FORMAT Möglichkeiten aufgelistet, öffentliche Schlüssel nur unter bestimmten Bedingungen zu erlauben oder gewisse Dinge zu erzwingen.

Besonders interessant ist das letzte Beispiel, bei dem bei einem bestimmten Zertifikat ein definiertes Kommando ausgeführt wird.

http://www.debian-administration.org/article/685/Restricting_SSH_logins_to_particular_IP_addresses.