--- title: IAM-Berechtigungen für Claude Models on Google Cloud (Anthropic managed) url: https://platform.claude.com/docs/de/api/claude-models-on-google-cloud-anthropic-managed-iam-permissions description: Schlage Google Cloud IAM-Berechtigungen, vordefinierte Rollen und Audit-Log-Typen für Claude Models on Google Cloud (Anthropic managed) nach. --- Claude Models on Google Cloud (Anthropic managed) verwendet Google Cloud IAM für die „access control" (Zugriffskontrolle). Jede API-Route benötigt eine Berechtigung des Dienstes `claude.googleapis.com`. Wenn der Aufrufer diese Berechtigung nicht besitzt, gibt Google Cloud einen HTTP-403-Fehler zurück. Drei „predefined roles" (vordefinierte Rollen) bündeln die Berechtigungen. Informationen zur Einrichtung und Authentifizierung findest du unter [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/de/build-with-claude/claude-models-on-google-cloud/anthropic-managed). ## Dienstdetails Die folgende Tabelle beschreibt den Google Cloud-Dienst für Claude Models on Google Cloud (Anthropic managed). | Attribut | Wert | | ------------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Dienst** | `claude.googleapis.com` | | **Wo Berechtigungen geprüft werden** | Ein Workspace oder die Anthropic-Organisation | | **Audit-Log-Typen** | Data Access, Admin Activity
Informationen zum Aktivieren von Data-Access-Logs findest du unter [Überwachung und Protokollierung](https://platform.claude.com/docs/de/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging). | Vergib Rollen für das Google Cloud-Projekt. Wie Projekte, Organisationen und Workspaces zusammenhängen, erfährst du unter [Workspaces](https://platform.claude.com/docs/de/build-with-claude/claude-models-on-google-cloud/anthropic-managed#workspaces). Berechtigungen auf dieser Seite werden in der Kurzform `resource.verb` angegeben, zum Beispiel `messages.create`. ## Vordefinierte Rollen Die folgende Tabelle listet die vordefinierten Rollen für Claude Models on Google Cloud (Anthropic managed) auf. | Rolle | Anzeigename | Berechtigungen | | --------------------- | ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `roles/claude.viewer` | Claude Viewer | Jede `get`- und `list`-Berechtigung für Workspace-Ressourcen. | | `roles/claude.user` | Claude User | Alles aus `roles/claude.viewer` sowie jede weitere Berechtigung für Workspace-Ressourcen.
Zum Beispiel `messages.create`, `messages.countTokens` und `environments.processWork`. | | `roles/claude.admin` | Claude Admin | Alles aus `roles/claude.user` sowie die Berechtigungen, die für deine Anthropic-Organisation geprüft werden.
Zum Beispiel `externalKeys.*` und `usageAnalytics.list`. | In den folgenden Tabellen stehen **Admin**, **User** und **Viewer** für diese drei Rollen. ## Berechtigungen Die folgenden Tabellen listen 68 Berechtigungen für 111 Routen auf. Die `get`- und `list`-Berechtigungen sind die schreibgeschützten Berechtigungen. Sofern ein Abschnitt nichts anderes angibt, ist der Audit-Log-Typ jeder Route Data Access. `roles/claude.viewer` kann keine Nachrichten senden und keine Token zählen. Das Senden einer Nachricht erfordert `messages.create`. Das Zählen von Token erfordert `messages.countTokens`. Einige Routen in den folgenden Tabellen sind für deine Organisation möglicherweise nicht verfügbar. Welche Funktionen verfügbar sind, erfährst du unter [Funktionsunterstützung](https://platform.claude.com/docs/de/build-with-claude/claude-models-on-google-cloud/anthropic-managed#feature-support). ### Nachrichten | Berechtigung | Rollen | Autorisierte Routen | | ---------------------- | ----------- | -------------------------------- | | `messages.create` | Admin, User | `POST /v1/messages` | | `messages.countTokens` | Admin, User | `POST /v1/messages/count_tokens` | ### Nachrichten-Batches | Berechtigung | Rollen | Autorisierte Routen | | ----------------------- | ------------------- | -------------------------------------------------------------------------------------------------------- | | `messageBatches.create` | Admin, User | `POST /v1/messages/batches` | | `messageBatches.get` | Admin, User, Viewer | `GET /v1/messages/batches/{message_batch_id}`
`GET /v1/messages/batches/{message_batch_id}/results` | | `messageBatches.list` | Admin, User, Viewer | `GET /v1/messages/batches` | | `messageBatches.delete` | Admin, User | `DELETE /v1/messages/batches/{message_batch_id}` | | `messageBatches.cancel` | Admin, User | `POST /v1/messages/batches/{message_batch_id}/cancel` | `roles/claude.viewer` kann Batch-Ergebnisse lesen. `messageBatches.get` autorisiert sowohl das Lesen der Metadaten eines Batches als auch das Herunterladen seiner Ergebnisse. ### Modelle | Berechtigung | Rollen | Autorisierte Routen | | ------------- | ------------------- | --------------------------- | | `models.get` | Admin, User, Viewer | `GET /v1/models/{model_id}` | | `models.list` | Admin, User, Viewer | `GET /v1/models` | ### Dateien | Berechtigung | Rollen | Autorisierte Routen | | -------------- | ------------------- | ---------------------------------------------------------------- | | `files.create` | Admin, User | `POST /v1/files` | | `files.get` | Admin, User, Viewer | `GET /v1/files/{file_id}`
`GET /v1/files/{file_id}/content` | | `files.list` | Admin, User, Viewer | `GET /v1/files` | | `files.delete` | Admin, User | `DELETE /v1/files/{file_id}` | `roles/claude.viewer` kann Dateien herunterladen. `files.get` autorisiert sowohl das Lesen der Metadaten einer Datei als auch das Herunterladen ihres Inhalts. ### Skills | Berechtigung | Rollen | Autorisierte Routen | | --------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `skills.create` | Admin, User | `POST /v1/skills` | | `skills.get` | Admin, User, Viewer | `GET /v1/skills/{skill_id}`
`GET /v1/skills/{skill_id}/versions`
`GET /v1/skills/{skill_id}/versions/{version}`
`GET /v1/skills/{skill_id}/versions/{version}/content` | | `skills.list` | Admin, User, Viewer | `GET /v1/skills` | | `skills.update` | Admin, User | `POST /v1/skills/{skill_id}/versions`
`DELETE /v1/skills/{skill_id}/versions/{version}` | | `skills.delete` | Admin, User | `DELETE /v1/skills/{skill_id}` | Das Erstellen oder Löschen einer Skill-Version erfordert `skills.update`, nicht `skills.create` oder `skills.delete`. ### Agenten | Berechtigung | Rollen | Autorisierte Routen | | ---------------- | ------------------- | --------------------------------------------------------------------- | | `agents.create` | Admin, User | `POST /v1/agents` | | `agents.get` | Admin, User, Viewer | `GET /v1/agents/{agent_id}`
`GET /v1/agents/{agent_id}/versions` | | `agents.list` | Admin, User, Viewer | `GET /v1/agents` | | `agents.update` | Admin, User | `POST /v1/agents/{agent_id}` | | `agents.archive` | Admin, User | `POST /v1/agents/{agent_id}/archive` | Du kannst einen Agenten archivieren, aber nicht löschen. ### Sitzungen | Berechtigung | Rollen | Autorisierte Routen | | ------------------ | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `sessions.create` | Admin, User | `POST /v1/sessions` | | `sessions.get` | Admin, User, Viewer | `GET /v1/sessions/{session_id}`
`GET /v1/sessions/{session_id}/events`
`GET /v1/sessions/{session_id}/events/stream`
`GET /v1/sessions/{session_id}/resources`
`GET /v1/sessions/{session_id}/resources/{resource_id}`
`GET /v1/sessions/{session_id}/threads`
`GET /v1/sessions/{session_id}/threads/{thread_id}`
`GET /v1/sessions/{session_id}/threads/{thread_id}/events`
`GET /v1/sessions/{session_id}/threads/{thread_id}/stream` | | `sessions.list` | Admin, User, Viewer | `GET /v1/sessions` | | `sessions.update` | Admin, User | `POST /v1/sessions/{session_id}`
`POST /v1/sessions/{session_id}/events`
`POST /v1/sessions/{session_id}/resources`
`POST /v1/sessions/{session_id}/resources/{resource_id}`
`DELETE /v1/sessions/{session_id}/resources/{resource_id}` | | `sessions.archive` | Admin, User | `POST /v1/sessions/{session_id}/archive`
`POST /v1/sessions/{session_id}/threads/{thread_id}/archive` | | `sessions.delete` | Admin, User | `DELETE /v1/sessions/{session_id}` | `sessions.get` autorisiert das Lesen der Sitzung, ihres Ereignisverlaufs und Ereignis-Streams, ihrer Ressourcen und ihrer Threads. Daher kann `roles/claude.viewer` den vollständigen Ereignisverlauf jeder Sitzung lesen. Andere Sitzungsvorgänge erfordern die folgenden Berechtigungen: * Senden von Ereignissen: `sessions.update` * Hinzufügen, Ändern oder Entfernen von Sitzungsressourcen: `sessions.update` * Archivieren eines Threads: `sessions.archive` ### Umgebungen | Berechtigung | Rollen | Autorisierte Routen | | -------------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `environments.create` | Admin, User | `POST /v1/environments` | | `environments.get` | Admin, User, Viewer | `GET /v1/environments/{environment_id}`
`GET /v1/environments/{environment_id}/work`
`GET /v1/environments/{environment_id}/work/stats`
`GET /v1/environments/{environment_id}/work/{work_id}` | | `environments.list` | Admin, User, Viewer | `GET /v1/environments` | | `environments.update` | Admin, User | `POST /v1/environments/{environment_id}` | | `environments.archive` | Admin, User | `POST /v1/environments/{environment_id}/archive` | | `environments.delete` | Admin, User | `DELETE /v1/environments/{environment_id}` | | `environments.processWork` | Admin, User | `GET /v1/environments/{environment_id}/work/poll`
`POST /v1/environments/{environment_id}/work/{work_id}`
`POST /v1/environments/{environment_id}/work/{work_id}/ack`
`POST /v1/environments/{environment_id}/work/{work_id}/heartbeat`
`POST /v1/environments/{environment_id}/work/{work_id}/stop` | `roles/claude.user` und `roles/claude.admin` enthalten jede Berechtigung, die ein Worker einer [selbst gehosteten Sandbox](https://platform.claude.com/docs/de/managed-agents/self-hosted-sandboxes) benötigt. `environments.processWork` autorisiert diese Worker-Aktionen: * Abfragen (Polling) von Arbeit * Bestätigen von Arbeitselementen * Senden von Heartbeats für Arbeitselemente * Stoppen von Arbeitselementen * Aktualisieren von Arbeitselementen Diese Berechtigung ist von `environments.update` getrennt. Das Lesen der Arbeitswarteschlange und ihrer Statistiken erfordert nur `environments.get`. Neben `environments.processWork` benötigt ein Worker weitere Berechtigungen, um eine Sitzung auszuführen, etwa `sessions.get`, um die Sitzung und ihre Ereignisse zu lesen, `sessions.update`, um Tool-Ergebnisse zu senden, und `skills.get`, um die Skills des Agenten herunterzuladen. ### Vaults Google Cloud erfasst diese Routen in Admin-Activity-Audit-Logs, mit Ausnahme der Route für `vaults.verify`, deren Audit-Log-Typ Data Access ist. | Berechtigung | Rollen | Autorisierte Routen | | ---------------- | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `vaults.create` | Admin, User | `POST /v1/vaults` | | `vaults.get` | Admin, User, Viewer | `GET /v1/vaults/{vault_id}`
`GET /v1/vaults/{vault_id}/credentials`
`GET /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.list` | Admin, User, Viewer | `GET /v1/vaults` | | `vaults.update` | Admin, User | `POST /v1/vaults/{vault_id}`
`POST /v1/vaults/{vault_id}/credentials`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}`
`DELETE /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.archive` | Admin, User | `POST /v1/vaults/{vault_id}/archive`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive` | | `vaults.delete` | Admin, User | `DELETE /v1/vaults/{vault_id}` | | `vaults.verify` | Admin, User | `POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate` | Vorgänge mit Anmeldedaten erfordern die folgenden Berechtigungen: * Erstellen, Ändern oder Löschen von Anmeldedaten: `vaults.update` * Archivieren von Anmeldedaten: `vaults.archive` * Lesen von Anmeldedaten: `vaults.get` * Prüfen gespeicherter MCP-OAuth-Anmeldedaten: `vaults.verify` Mit `vaults.get` kann `roles/claude.viewer` die Anmeldedaten eines Vaults auflisten. Claude Models on Google Cloud (Anthropic managed) gibt niemals die geheimen Felder von Anmeldedaten zurück. Weitere Informationen findest du unter [Mit Vaults authentifizieren](https://platform.claude.com/docs/de/managed-agents/vaults). ### Memory Stores | Berechtigung | Rollen | Autorisierte Routen | | ---------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `memoryStores.create` | Admin, User | `POST /v1/memory_stores` | | `memoryStores.get` | Admin, User, Viewer | `GET /v1/memory_stores/{memory_store_id}`
`GET /v1/memory_stores/{memory_store_id}/memories`
`GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`GET /v1/memory_stores/{memory_store_id}/memory_versions`
`GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}` | | `memoryStores.list` | Admin, User, Viewer | `GET /v1/memory_stores` | | `memoryStores.update` | Admin, User | `POST /v1/memory_stores/{memory_store_id}`
`POST /v1/memory_stores/{memory_store_id}/memories`
`POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact` | | `memoryStores.archive` | Admin, User | `POST /v1/memory_stores/{memory_store_id}/archive` | | `memoryStores.delete` | Admin, User | `DELETE /v1/memory_stores/{memory_store_id}` | Vorgänge mit Memory Stores erfordern die folgenden Berechtigungen: * Lesen des Stores, seiner Memories oder seines Versionsverlaufs: `memoryStores.get` * Erstellen, Ändern oder Löschen einer Memory: `memoryStores.update` * Schwärzen einer Memory-Version: `memoryStores.update` ### Deployments | Berechtigung | Rollen | Autorisierte Routen | | --------------------- | ------------------- | ----------------------------------------------------------------------------------------------------------------------- | | `deployments.create` | Admin, User | `POST /v1/deployments` | | `deployments.get` | Admin, User, Viewer | `GET /v1/deployment_runs`
`GET /v1/deployment_runs/{deployment_run_id}`
`GET /v1/deployments/{deployment_id}` | | `deployments.list` | Admin, User, Viewer | `GET /v1/deployments` | | `deployments.update` | Admin, User | `POST /v1/deployments/{deployment_id}` | | `deployments.archive` | Admin, User | `POST /v1/deployments/{deployment_id}/archive` | | `deployments.run` | Admin, User | `POST /v1/deployments/{deployment_id}/run` | | `deployments.pause` | Admin, User | `POST /v1/deployments/{deployment_id}/pause` | | `deployments.unpause` | Admin, User | `POST /v1/deployments/{deployment_id}/unpause` | Das Lesen von Deployment-Runs erfordert `deployments.get`. ### Dreams | Berechtigung | Rollen | Autorisierte Routen | | ---------------- | ------------------- | ------------------------------------ | | `dreams.create` | Admin, User | `POST /v1/dreams` | | `dreams.get` | Admin, User, Viewer | `GET /v1/dreams/{dream_id}` | | `dreams.list` | Admin, User, Viewer | `GET /v1/dreams` | | `dreams.archive` | Admin, User | `POST /v1/dreams/{dream_id}/archive` | | `dreams.cancel` | Admin, User | `POST /v1/dreams/{dream_id}/cancel` | Dreams ist eine Funktion in der Research Preview. Informationen zum Anfordern des Zugriffs findest du unter [Dreams](https://platform.claude.com/docs/de/managed-agents/dreams). ### Verschlüsselungsschlüssel Google Cloud erfasst diese Routen in Admin-Activity-Audit-Logs. | Berechtigung | Rollen | Autorisierte Routen | | --------------------- | ------ | ---------------------------------------------------------- | | `externalKeys.create` | Admin | `POST /v1/organizations/external_keys` | | `externalKeys.get` | Admin | `GET /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.list` | Admin | `GET /v1/organizations/external_keys` | | `externalKeys.update` | Admin | `POST /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.delete` | Admin | `DELETE /v1/organizations/external_keys/{external_key_id}` | Diese Berechtigungen verwalten die Registrierungen der Verschlüsselungsschlüssel deiner Organisation. Von den drei vordefinierten Rollen enthält nur `roles/claude.admin` diese Berechtigungen. ### Nutzungsberichte | Berechtigung | Rollen | Autorisierte Routen | | --------------------- | ------ | --------------------------------------------- | | `usageAnalytics.list` | Admin | `GET /v1/organizations/usage_report/messages` | Von den drei vordefinierten Rollen enthält nur `roles/claude.admin` die Berechtigung `usageAnalytics.list`. ## Siehe auch * [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/de/build-with-claude/claude-models-on-google-cloud/anthropic-managed) * [IAM-Rollen](https://platform.claude.com/docs/de/build-with-claude/claude-models-on-google-cloud/anthropic-managed#iam-roles) * [Überwachung und Protokollierung](https://platform.claude.com/docs/de/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)