Вот именно, облачные пентесты — это больше про ковыряние в ролях и политиках, чем про обычные дырки в сети. Вся суть в понимании, кто и что может через API сделать, а не просто найти открытый порт. Без этого рыть в облаке почти бессмысленно.