Ну, идея с фокусом на ролях и API понятна, но не уверен, что полностью так всё просто. В облаке всё равно могут быть неожиданные лазейки, не только в IAM, а иногда и в инфраструктуре. Сканы снаружи не дают много, но списывать их со счетов слишком рано не стоит. В целом, цепочки доступа — это важный момент, но и другие векторы нельзя игнорировать.