ssh ключ, которы разрешит только port forwarding
 

Можно ли сделать ssh ключ, с помощью которого можно было бы только форвардить порты, и больше ничего?

Можно.
Указать этому пользователю оболочку /bin/false , и он не сможет вводить команды