ssh без пароля

пароли все равно будут, если ключа нет

как совсем отключить пароли? чтобы только по ключам

PasswordAuthentication no

а как быть новым юзерам, как они будут копировать свои ключи?

Через тебя, очевидно.

подозреваю, что это не поможет (ибо судя по профилю тс решает свои рабочие вопросы через других людей, и не платит им за это), но я бы отправил его в man sshd_config (или в гугл с тем же текстом)

обратись к аккаунт-менеджеру этого сервера

1. Да, только ещё PAM и ChallengeResponseAuthentication, может, донастроить надо будет, или выключить. И sshd может подгружать конфиг без перезапуска, по сигалу HUP
2. В конфиге sshd можно написать:

Match Group newuser
 PasswordAuthentication yes