API-ReferenzSupport & Konfiguration

IAM-Berechtigungen für Claude Models on Google Cloud (Anthropic managed)

Schlage Google Cloud IAM-Berechtigungen, vordefinierte Rollen und Audit-Log-Typen für Claude Models on Google Cloud (Anthropic managed) nach.

Claude Models on Google Cloud (Anthropic managed) verwendet Google Cloud IAM für die „access control" (Zugriffskontrolle). Jede API-Route benötigt eine Berechtigung des Dienstes claude.googleapis.com. Wenn der Aufrufer diese Berechtigung nicht besitzt, gibt Google Cloud einen HTTP-403-Fehler zurück. Drei „predefined roles" (vordefinierte Rollen) bündeln die Berechtigungen. Informationen zur Einrichtung und Authentifizierung findest du unter Claude Models on Google Cloud (Anthropic managed).

Dienstdetails

Die folgende Tabelle beschreibt den Google Cloud-Dienst für Claude Models on Google Cloud (Anthropic managed).

Attribut	Wert
Dienst	`claude.googleapis.com`
Wo Berechtigungen geprüft werden	Ein Workspace oder die Anthropic-Organisation
Audit-Log-Typen	Data Access, Admin Activity Informationen zum Aktivieren von Data-Access-Logs findest du unter Überwachung und Protokollierung.

Vergib Rollen für das Google Cloud-Projekt. Wie Projekte, Organisationen und Workspaces zusammenhängen, erfährst du unter Workspaces.

Berechtigungen auf dieser Seite werden in der Kurzform resource.verb angegeben, zum Beispiel messages.create.

Vordefinierte Rollen

Die folgende Tabelle listet die vordefinierten Rollen für Claude Models on Google Cloud (Anthropic managed) auf.

Rolle	Anzeigename	Berechtigungen
`roles/claude.viewer`	Claude Viewer	Jede `get`- und `list`-Berechtigung für Workspace-Ressourcen.
`roles/claude.user`	Claude User	Alles aus `roles/claude.viewer` sowie jede weitere Berechtigung für Workspace-Ressourcen. Zum Beispiel `messages.create`, `messages.countTokens` und `environments.processWork`.
`roles/claude.admin`	Claude Admin	Alles aus `roles/claude.user` sowie die Berechtigungen, die für deine Anthropic-Organisation geprüft werden. Zum Beispiel `externalKeys.*` und `usageAnalytics.list`.

In den folgenden Tabellen stehen Admin, User und Viewer für diese drei Rollen.

Berechtigungen

Die folgenden Tabellen listen 68 Berechtigungen für 111 Routen auf.

Die get- und list-Berechtigungen sind die schreibgeschützten Berechtigungen.

Sofern ein Abschnitt nichts anderes angibt, ist der Audit-Log-Typ jeder Route Data Access.

roles/claude.viewer kann keine Nachrichten senden und keine Token zählen. Das Senden einer Nachricht erfordert messages.create. Das Zählen von Token erfordert messages.countTokens.

Einige Routen in den folgenden Tabellen sind für deine Organisation möglicherweise nicht verfügbar. Welche Funktionen verfügbar sind, erfährst du unter Funktionsunterstützung.

Nachrichten

Berechtigung	Rollen	Autorisierte Routen
`messages.create`	Admin, User	`POST /v1/messages`
`messages.countTokens`	Admin, User	`POST /v1/messages/count_tokens`

Nachrichten-Batches

Berechtigung	Rollen	Autorisierte Routen
`messageBatches.create`	Admin, User	`POST /v1/messages/batches`
`messageBatches.get`	Admin, User, Viewer	`GET /v1/messages/batches/{message_batch_id}` `GET /v1/messages/batches/{message_batch_id}/results`
`messageBatches.list`	Admin, User, Viewer	`GET /v1/messages/batches`
`messageBatches.delete`	Admin, User	`DELETE /v1/messages/batches/{message_batch_id}`
`messageBatches.cancel`	Admin, User	`POST /v1/messages/batches/{message_batch_id}/cancel`

roles/claude.viewer kann Batch-Ergebnisse lesen. messageBatches.get autorisiert sowohl das Lesen der Metadaten eines Batches als auch das Herunterladen seiner Ergebnisse.

Modelle

Berechtigung	Rollen	Autorisierte Routen
`models.get`	Admin, User, Viewer	`GET /v1/models/{model_id}`
`models.list`	Admin, User, Viewer	`GET /v1/models`

Dateien

Berechtigung	Rollen	Autorisierte Routen
`files.create`	Admin, User	`POST /v1/files`
`files.get`	Admin, User, Viewer	`GET /v1/files/{file_id}` `GET /v1/files/{file_id}/content`
`files.list`	Admin, User, Viewer	`GET /v1/files`
`files.delete`	Admin, User	`DELETE /v1/files/{file_id}`

roles/claude.viewer kann Dateien herunterladen. files.get autorisiert sowohl das Lesen der Metadaten einer Datei als auch das Herunterladen ihres Inhalts.

Skills

Berechtigung	Rollen	Autorisierte Routen
`skills.create`	Admin, User	`POST /v1/skills`
`skills.get`	Admin, User, Viewer	`GET /v1/skills/{skill_id}` `GET /v1/skills/{skill_id}/versions` `GET /v1/skills/{skill_id}/versions/{version}` `GET /v1/skills/{skill_id}/versions/{version}/content`
`skills.list`	Admin, User, Viewer	`GET /v1/skills`
`skills.update`	Admin, User	`POST /v1/skills/{skill_id}/versions` `DELETE /v1/skills/{skill_id}/versions/{version}`
`skills.delete`	Admin, User	`DELETE /v1/skills/{skill_id}`

Das Erstellen oder Löschen einer Skill-Version erfordert skills.update, nicht skills.create oder skills.delete.

Agenten

Berechtigung	Rollen	Autorisierte Routen
`agents.create`	Admin, User	`POST /v1/agents`
`agents.get`	Admin, User, Viewer	`GET /v1/agents/{agent_id}` `GET /v1/agents/{agent_id}/versions`
`agents.list`	Admin, User, Viewer	`GET /v1/agents`
`agents.update`	Admin, User	`POST /v1/agents/{agent_id}`
`agents.archive`	Admin, User	`POST /v1/agents/{agent_id}/archive`

Du kannst einen Agenten archivieren, aber nicht löschen.

Sitzungen

Berechtigung	Rollen	Autorisierte Routen
`sessions.create`	Admin, User	`POST /v1/sessions`
`sessions.get`	Admin, User, Viewer	`GET /v1/sessions/{session_id}` `GET /v1/sessions/{session_id}/events` `GET /v1/sessions/{session_id}/events/stream` `GET /v1/sessions/{session_id}/resources` `GET /v1/sessions/{session_id}/resources/{resource_id}` `GET /v1/sessions/{session_id}/threads` `GET /v1/sessions/{session_id}/threads/{thread_id}` `GET /v1/sessions/{session_id}/threads/{thread_id}/events` `GET /v1/sessions/{session_id}/threads/{thread_id}/stream`
`sessions.list`	Admin, User, Viewer	`GET /v1/sessions`
`sessions.update`	Admin, User	`POST /v1/sessions/{session_id}` `POST /v1/sessions/{session_id}/events` `POST /v1/sessions/{session_id}/resources` `POST /v1/sessions/{session_id}/resources/{resource_id}` `DELETE /v1/sessions/{session_id}/resources/{resource_id}`
`sessions.archive`	Admin, User	`POST /v1/sessions/{session_id}/archive` `POST /v1/sessions/{session_id}/threads/{thread_id}/archive`
`sessions.delete`	Admin, User	`DELETE /v1/sessions/{session_id}`

sessions.get autorisiert das Lesen der Sitzung, ihres Ereignisverlaufs und Ereignis-Streams, ihrer Ressourcen und ihrer Threads. Daher kann roles/claude.viewer den vollständigen Ereignisverlauf jeder Sitzung lesen.

Andere Sitzungsvorgänge erfordern die folgenden Berechtigungen:

Senden von Ereignissen: sessions.update
Hinzufügen, Ändern oder Entfernen von Sitzungsressourcen: sessions.update
Archivieren eines Threads: sessions.archive

Umgebungen

Berechtigung	Rollen	Autorisierte Routen
`environments.create`	Admin, User	`POST /v1/environments`
`environments.get`	Admin, User, Viewer	`GET /v1/environments/{environment_id}` `GET /v1/environments/{environment_id}/work` `GET /v1/environments/{environment_id}/work/stats` `GET /v1/environments/{environment_id}/work/{work_id}`
`environments.list`	Admin, User, Viewer	`GET /v1/environments`
`environments.update`	Admin, User	`POST /v1/environments/{environment_id}`
`environments.archive`	Admin, User	`POST /v1/environments/{environment_id}/archive`
`environments.delete`	Admin, User	`DELETE /v1/environments/{environment_id}`
`environments.processWork`	Admin, User	`GET /v1/environments/{environment_id}/work/poll` `POST /v1/environments/{environment_id}/work/{work_id}` `POST /v1/environments/{environment_id}/work/{work_id}/ack` `POST /v1/environments/{environment_id}/work/{work_id}/heartbeat` `POST /v1/environments/{environment_id}/work/{work_id}/stop`

roles/claude.user und roles/claude.admin enthalten jede Berechtigung, die ein Worker einer selbst gehosteten Sandbox benötigt. environments.processWork autorisiert diese Worker-Aktionen:

Abfragen (Polling) von Arbeit
Bestätigen von Arbeitselementen
Senden von Heartbeats für Arbeitselemente
Stoppen von Arbeitselementen
Aktualisieren von Arbeitselementen

Diese Berechtigung ist von environments.update getrennt. Das Lesen der Arbeitswarteschlange und ihrer Statistiken erfordert nur environments.get.

Neben environments.processWork benötigt ein Worker weitere Berechtigungen, um eine Sitzung auszuführen, etwa sessions.get, um die Sitzung und ihre Ereignisse zu lesen, sessions.update, um Tool-Ergebnisse zu senden, und skills.get, um die Skills des Agenten herunterzuladen.

Vaults

Google Cloud erfasst diese Routen in Admin-Activity-Audit-Logs, mit Ausnahme der Route für vaults.verify, deren Audit-Log-Typ Data Access ist.

Berechtigung	Rollen	Autorisierte Routen
`vaults.create`	Admin, User	`POST /v1/vaults`
`vaults.get`	Admin, User, Viewer	`GET /v1/vaults/{vault_id}` `GET /v1/vaults/{vault_id}/credentials` `GET /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.list`	Admin, User, Viewer	`GET /v1/vaults`
`vaults.update`	Admin, User	`POST /v1/vaults/{vault_id}` `POST /v1/vaults/{vault_id}/credentials` `POST /v1/vaults/{vault_id}/credentials/{credential_id}` `DELETE /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.archive`	Admin, User	`POST /v1/vaults/{vault_id}/archive` `POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive`
`vaults.delete`	Admin, User	`DELETE /v1/vaults/{vault_id}`
`vaults.verify`	Admin, User	`POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate`

Vorgänge mit Anmeldedaten erfordern die folgenden Berechtigungen:

Erstellen, Ändern oder Löschen von Anmeldedaten: vaults.update
Archivieren von Anmeldedaten: vaults.archive
Lesen von Anmeldedaten: vaults.get
Prüfen gespeicherter MCP-OAuth-Anmeldedaten: vaults.verify

Mit vaults.get kann roles/claude.viewer die Anmeldedaten eines Vaults auflisten. Claude Models on Google Cloud (Anthropic managed) gibt niemals die geheimen Felder von Anmeldedaten zurück. Weitere Informationen findest du unter Mit Vaults authentifizieren.

Memory Stores

Berechtigung	Rollen	Autorisierte Routen
`memoryStores.create`	Admin, User	`POST /v1/memory_stores`
`memoryStores.get`	Admin, User, Viewer	`GET /v1/memory_stores/{memory_store_id}` `GET /v1/memory_stores/{memory_store_id}/memories` `GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `GET /v1/memory_stores/{memory_store_id}/memory_versions` `GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}`
`memoryStores.list`	Admin, User, Viewer	`GET /v1/memory_stores`
`memoryStores.update`	Admin, User	`POST /v1/memory_stores/{memory_store_id}` `POST /v1/memory_stores/{memory_store_id}/memories` `POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact`
`memoryStores.archive`	Admin, User	`POST /v1/memory_stores/{memory_store_id}/archive`
`memoryStores.delete`	Admin, User	`DELETE /v1/memory_stores/{memory_store_id}`

Vorgänge mit Memory Stores erfordern die folgenden Berechtigungen:

Lesen des Stores, seiner Memories oder seines Versionsverlaufs: memoryStores.get
Erstellen, Ändern oder Löschen einer Memory: memoryStores.update
Schwärzen einer Memory-Version: memoryStores.update

Deployments

Berechtigung	Rollen	Autorisierte Routen
`deployments.create`	Admin, User	`POST /v1/deployments`
`deployments.get`	Admin, User, Viewer	`GET /v1/deployment_runs` `GET /v1/deployment_runs/{deployment_run_id}` `GET /v1/deployments/{deployment_id}`
`deployments.list`	Admin, User, Viewer	`GET /v1/deployments`
`deployments.update`	Admin, User	`POST /v1/deployments/{deployment_id}`
`deployments.archive`	Admin, User	`POST /v1/deployments/{deployment_id}/archive`
`deployments.run`	Admin, User	`POST /v1/deployments/{deployment_id}/run`
`deployments.pause`	Admin, User	`POST /v1/deployments/{deployment_id}/pause`
`deployments.unpause`	Admin, User	`POST /v1/deployments/{deployment_id}/unpause`

Das Lesen von Deployment-Runs erfordert deployments.get.

Dreams

Berechtigung	Rollen	Autorisierte Routen
`dreams.create`	Admin, User	`POST /v1/dreams`
`dreams.get`	Admin, User, Viewer	`GET /v1/dreams/{dream_id}`
`dreams.list`	Admin, User, Viewer	`GET /v1/dreams`
`dreams.archive`	Admin, User	`POST /v1/dreams/{dream_id}/archive`
`dreams.cancel`	Admin, User	`POST /v1/dreams/{dream_id}/cancel`

Dreams ist eine Funktion in der Research Preview. Informationen zum Anfordern des Zugriffs findest du unter Dreams.

Verschlüsselungsschlüssel

Google Cloud erfasst diese Routen in Admin-Activity-Audit-Logs.

Berechtigung	Rollen	Autorisierte Routen
`externalKeys.create`	Admin	`POST /v1/organizations/external_keys`
`externalKeys.get`	Admin	`GET /v1/organizations/external_keys/{external_key_id}`
`externalKeys.list`	Admin	`GET /v1/organizations/external_keys`
`externalKeys.update`	Admin	`POST /v1/organizations/external_keys/{external_key_id}`
`externalKeys.delete`	Admin	`DELETE /v1/organizations/external_keys/{external_key_id}`

Diese Berechtigungen verwalten die Registrierungen der Verschlüsselungsschlüssel deiner Organisation. Von den drei vordefinierten Rollen enthält nur roles/claude.admin diese Berechtigungen.

Nutzungsberichte

Berechtigung	Rollen	Autorisierte Routen
`usageAnalytics.list`	Admin	`GET /v1/organizations/usage_report/messages`

Von den drei vordefinierten Rollen enthält nur roles/claude.admin die Berechtigung usageAnalytics.list.

Dienstdetails

Vordefinierte Rollen

Berechtigungen

Nachrichten

Nachrichten-Batches

Modelle

Dateien

Skills

Agenten

Sitzungen

Umgebungen

Vaults

Memory Stores

Deployments

Dreams

Verschlüsselungsschlüssel

Nutzungsberichte

Siehe auch