Просто не указывайте список действий в правиле, например:
public function behaviors()
{
return [
'access' => [
'class' => AccessControl::className(),
'rules' => [
[
'allow' => true,
'roles' => ['@'],
],
],
],
];
}
-- заблокирует все методы для неавторизированных пользователей.