A única maneira é ter um diretório para o qual o usuário não possa gravar. Crie um único arquivo nesse diretório e conceda a eles permissão para gravar esse arquivo. Eles não poderão remover o arquivo nem criar outro arquivo. Eles não poderão renomear o arquivo também. Mas eles podem substituir o arquivo, e eles podem alterar os metadados do arquivo (timestamps, permissões, etc.) se eles possuírem o arquivo.
chown root:root mydir
chmod 755 mydir
touch mydir/somefile
chown bob mydir/somefile
Isso parece completamente sem sentido para mim. Não há benefício de segurança possível para permitir que um usuário tenha um único arquivo; pode haver um benefício se você adicionalmente restringir o nome (como eu faço aqui), mas mesmo isso parece muito improvável. Verifique se você está resolvendo seu problema real em vez de alguma restrição sem sentido inventada .