Graças à dica de Mark Plotnick, lendo as man pages muito confusas e muita experimentação, finalmente consegui que funcionasse usando o seguinte em /etc/exports
/home/pi *(rw,sync,no_subtree_check)
/home/pi zaphod.local(rw,sync,no_subtree_check,all_squash,anonuid=1000,anongid=1000)
zaphod.local
é o meu Mac, e isso mapeia o uid
e gid
para o usuário pi.
Outros pi
usuários têm acesso normal, mas qualquer outro só pode ler arquivos.