>>700 どうも。wrapperにしないと駄目みたいですね。
鯖 saba.comに/root/remote-rsyncとか適当な名前のファイルを作って、

#!/bin/sh
if echo $SSH_ORIGINAL_COMMAND|grep -e "^rsync " >/dev/null 2>&1; then
$SSH_ORIGINAL_COMMAND
else
echo "No access. Sorry."
fi

としておく。ほんで、同じく鯖の/root/.ssh/authorized_keys2のほうは、

command="/root/remote-rsync" ...key...

としておく。そうするとバックアップマシンのrootから

# rsync -auzb -e ssh --exclude='*~' --delete saba.com:/どこでも/ /どこでも

がめでたく実行可能になりますた。OpenSSHのこのあたりのdoc、えらいわかりにくくて
難儀しますた。