Linuxの `cap_sys_chroot` ケーパビリティを持つプロセスができることはどれか。

特定のServiceAccountが、APIサーバーに対して一切リクエストを行わないように制限したい場合、最も効果的な方法はどれか。