Es muss klar definiert sein, wer welche Dinge steuern darf und zu welchem Ausmaß mithilfe des „kubectl“-Befehls. Geregelt wird dies regulär über RBAC, doch kann es nicht schaden bestimmte Befehle zusätzlich zu deaktivieren, so zum Beispiel „kubectl verb“, dessen entsprechenden Cluster-Rollen sowie Standard-Rollen, eingeschlossen deren Bindings, wie auch der „kubectl config“-Veranschaung, dem „kubectl config“-verb-Kontext und so weiter.
