Referencia de la APISoporte y configuración

Permisos de IAM para Claude Models on Google Cloud (Anthropic managed)

Consulta los permisos de IAM de Google Cloud, los roles predefinidos y los tipos de registros de auditoría para Claude Models on Google Cloud (Anthropic managed).

Claude Models on Google Cloud (Anthropic managed) usa IAM de Google Cloud para el control de acceso. Cada ruta de la API necesita un permiso del servicio claude.googleapis.com. Si quien realiza la llamada no tiene ese permiso, Google Cloud devuelve un error HTTP 403. Tres roles predefinidos agrupan los permisos. Para la configuración y la autenticación, consulta Claude Models on Google Cloud (Anthropic managed).

Detalles del servicio

La siguiente tabla describe el servicio de Google Cloud para Claude Models on Google Cloud (Anthropic managed).

Atributo	Valor
Servicio	`claude.googleapis.com`
Dónde se verifican los permisos	Un espacio de trabajo o la organización de Anthropic
Tipos de registros de auditoría	Data Access, Admin Activity Para activar los registros de Data Access, consulta Monitoreo y registro.

Otorga los roles en el proyecto de Google Cloud. Para saber cómo se relacionan los proyectos, las organizaciones y los espacios de trabajo, consulta Espacios de trabajo.

Los permisos de esta página están en la forma abreviada resource.verb, como messages.create.

Roles predefinidos

La siguiente tabla enumera los roles predefinidos para Claude Models on Google Cloud (Anthropic managed).

Rol	Nombre visible	Permisos
`roles/claude.viewer`	Claude Viewer	Todos los permisos `get` y `list` sobre los recursos del espacio de trabajo.
`roles/claude.user`	Claude User	Todo lo incluido en `roles/claude.viewer`, más todos los demás permisos sobre los recursos del espacio de trabajo. Por ejemplo, `messages.create`, `messages.countTokens` y `environments.processWork`.
`roles/claude.admin`	Claude Admin	Todo lo incluido en `roles/claude.user`, más los permisos que se verifican en tu organización de Anthropic. Por ejemplo, `externalKeys.*` y `usageAnalytics.list`.

En las siguientes tablas, Admin, User y Viewer representan estos tres roles.

Permisos

Las siguientes tablas enumeran 68 permisos en 111 rutas.

Los permisos get y list son los de solo lectura.

A menos que una sección indique lo contrario, el tipo de registro de auditoría de cada ruta es Data Access.

roles/claude.viewer no puede enviar mensajes ni contar tokens. Enviar un mensaje requiere messages.create. Contar tokens requiere messages.countTokens.

Es posible que algunas rutas de las siguientes tablas no estén disponibles para tu organización. Para comprobar qué funciones están disponibles, consulta Compatibilidad de funciones.

Mensajes

Permiso	Roles	Rutas autorizadas
`messages.create`	Admin, User	`POST /v1/messages`
`messages.countTokens`	Admin, User	`POST /v1/messages/count_tokens`

Lotes de mensajes

Permiso	Roles	Rutas autorizadas
`messageBatches.create`	Admin, User	`POST /v1/messages/batches`
`messageBatches.get`	Admin, User, Viewer	`GET /v1/messages/batches/{message_batch_id}` `GET /v1/messages/batches/{message_batch_id}/results`
`messageBatches.list`	Admin, User, Viewer	`GET /v1/messages/batches`
`messageBatches.delete`	Admin, User	`DELETE /v1/messages/batches/{message_batch_id}`
`messageBatches.cancel`	Admin, User	`POST /v1/messages/batches/{message_batch_id}/cancel`

roles/claude.viewer puede leer los resultados de los lotes. messageBatches.get autoriza tanto la lectura de los metadatos de un lote como la descarga de sus resultados.

Modelos

Permiso	Roles	Rutas autorizadas
`models.get`	Admin, User, Viewer	`GET /v1/models/{model_id}`
`models.list`	Admin, User, Viewer	`GET /v1/models`

Archivos

Permiso	Roles	Rutas autorizadas
`files.create`	Admin, User	`POST /v1/files`
`files.get`	Admin, User, Viewer	`GET /v1/files/{file_id}` `GET /v1/files/{file_id}/content`
`files.list`	Admin, User, Viewer	`GET /v1/files`
`files.delete`	Admin, User	`DELETE /v1/files/{file_id}`

roles/claude.viewer puede descargar archivos. files.get autoriza tanto la lectura de los metadatos de un archivo como la descarga de su contenido.

Skills

Permiso	Roles	Rutas autorizadas
`skills.create`	Admin, User	`POST /v1/skills`
`skills.get`	Admin, User, Viewer	`GET /v1/skills/{skill_id}` `GET /v1/skills/{skill_id}/versions` `GET /v1/skills/{skill_id}/versions/{version}` `GET /v1/skills/{skill_id}/versions/{version}/content`
`skills.list`	Admin, User, Viewer	`GET /v1/skills`
`skills.update`	Admin, User	`POST /v1/skills/{skill_id}/versions` `DELETE /v1/skills/{skill_id}/versions/{version}`
`skills.delete`	Admin, User	`DELETE /v1/skills/{skill_id}`

Crear o eliminar una versión de una skill requiere skills.update, no skills.create ni skills.delete.

Agentes

Permiso	Roles	Rutas autorizadas
`agents.create`	Admin, User	`POST /v1/agents`
`agents.get`	Admin, User, Viewer	`GET /v1/agents/{agent_id}` `GET /v1/agents/{agent_id}/versions`
`agents.list`	Admin, User, Viewer	`GET /v1/agents`
`agents.update`	Admin, User	`POST /v1/agents/{agent_id}`
`agents.archive`	Admin, User	`POST /v1/agents/{agent_id}/archive`

Puedes archivar un agente, pero no eliminarlo.

Sesiones

Permiso	Roles	Rutas autorizadas
`sessions.create`	Admin, User	`POST /v1/sessions`
`sessions.get`	Admin, User, Viewer	`GET /v1/sessions/{session_id}` `GET /v1/sessions/{session_id}/events` `GET /v1/sessions/{session_id}/events/stream` `GET /v1/sessions/{session_id}/resources` `GET /v1/sessions/{session_id}/resources/{resource_id}` `GET /v1/sessions/{session_id}/threads` `GET /v1/sessions/{session_id}/threads/{thread_id}` `GET /v1/sessions/{session_id}/threads/{thread_id}/events` `GET /v1/sessions/{session_id}/threads/{thread_id}/stream`
`sessions.list`	Admin, User, Viewer	`GET /v1/sessions`
`sessions.update`	Admin, User	`POST /v1/sessions/{session_id}` `POST /v1/sessions/{session_id}/events` `POST /v1/sessions/{session_id}/resources` `POST /v1/sessions/{session_id}/resources/{resource_id}` `DELETE /v1/sessions/{session_id}/resources/{resource_id}`
`sessions.archive`	Admin, User	`POST /v1/sessions/{session_id}/archive` `POST /v1/sessions/{session_id}/threads/{thread_id}/archive`
`sessions.delete`	Admin, User	`DELETE /v1/sessions/{session_id}`

sessions.get autoriza la lectura de la sesión, su historial de eventos y su flujo de eventos, sus recursos y sus hilos. Como resultado, roles/claude.viewer puede leer el historial de eventos completo de cada sesión.

Otras operaciones de sesión requieren los siguientes permisos:

Enviar eventos: sessions.update
Agregar, cambiar o quitar recursos de la sesión: sessions.update
Archivar un hilo: sessions.archive

Entornos

Permiso	Roles	Rutas autorizadas
`environments.create`	Admin, User	`POST /v1/environments`
`environments.get`	Admin, User, Viewer	`GET /v1/environments/{environment_id}` `GET /v1/environments/{environment_id}/work` `GET /v1/environments/{environment_id}/work/stats` `GET /v1/environments/{environment_id}/work/{work_id}`
`environments.list`	Admin, User, Viewer	`GET /v1/environments`
`environments.update`	Admin, User	`POST /v1/environments/{environment_id}`
`environments.archive`	Admin, User	`POST /v1/environments/{environment_id}/archive`
`environments.delete`	Admin, User	`DELETE /v1/environments/{environment_id}`
`environments.processWork`	Admin, User	`GET /v1/environments/{environment_id}/work/poll` `POST /v1/environments/{environment_id}/work/{work_id}` `POST /v1/environments/{environment_id}/work/{work_id}/ack` `POST /v1/environments/{environment_id}/work/{work_id}/heartbeat` `POST /v1/environments/{environment_id}/work/{work_id}/stop`

roles/claude.user y roles/claude.admin incluyen todos los permisos que necesita un worker de sandbox autoalojado. environments.processWork autoriza estas acciones del worker:

Consultar si hay trabajo
Confirmar elementos de trabajo
Enviar heartbeats para elementos de trabajo
Detener elementos de trabajo
Actualizar elementos de trabajo

Este permiso es independiente de environments.update. Leer la cola de trabajo y sus estadísticas solo requiere environments.get.

Además de environments.processWork, un worker necesita otros permisos para ejecutar una sesión, como sessions.get para leer la sesión y sus eventos, sessions.update para enviar resultados de herramientas y skills.get para descargar las skills del agente.

Bóvedas

Google Cloud registra estas rutas en los registros de auditoría de Admin Activity, excepto la ruta de vaults.verify, cuyo tipo de registro de auditoría es Data Access.

Permiso	Roles	Rutas autorizadas
`vaults.create`	Admin, User	`POST /v1/vaults`
`vaults.get`	Admin, User, Viewer	`GET /v1/vaults/{vault_id}` `GET /v1/vaults/{vault_id}/credentials` `GET /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.list`	Admin, User, Viewer	`GET /v1/vaults`
`vaults.update`	Admin, User	`POST /v1/vaults/{vault_id}` `POST /v1/vaults/{vault_id}/credentials` `POST /v1/vaults/{vault_id}/credentials/{credential_id}` `DELETE /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.archive`	Admin, User	`POST /v1/vaults/{vault_id}/archive` `POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive`
`vaults.delete`	Admin, User	`DELETE /v1/vaults/{vault_id}`
`vaults.verify`	Admin, User	`POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate`

Las operaciones con credenciales requieren los siguientes permisos:

Crear, cambiar o eliminar una credencial: vaults.update
Archivar una credencial: vaults.archive
Leer una credencial: vaults.get
Verificar una credencial OAuth de MCP almacenada: vaults.verify

Con vaults.get, roles/claude.viewer puede enumerar las credenciales de una bóveda. Claude Models on Google Cloud (Anthropic managed) nunca devuelve los campos secretos de una credencial. Para obtener más información, consulta Autenticarse con bóvedas.

Almacenes de memoria

Permiso	Roles	Rutas autorizadas
`memoryStores.create`	Admin, User	`POST /v1/memory_stores`
`memoryStores.get`	Admin, User, Viewer	`GET /v1/memory_stores/{memory_store_id}` `GET /v1/memory_stores/{memory_store_id}/memories` `GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `GET /v1/memory_stores/{memory_store_id}/memory_versions` `GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}`
`memoryStores.list`	Admin, User, Viewer	`GET /v1/memory_stores`
`memoryStores.update`	Admin, User	`POST /v1/memory_stores/{memory_store_id}` `POST /v1/memory_stores/{memory_store_id}/memories` `POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact`
`memoryStores.archive`	Admin, User	`POST /v1/memory_stores/{memory_store_id}/archive`
`memoryStores.delete`	Admin, User	`DELETE /v1/memory_stores/{memory_store_id}`

Las operaciones con almacenes de memoria requieren los siguientes permisos:

Leer el almacén, sus memorias o su historial de versiones: memoryStores.get
Crear, cambiar o eliminar una memoria: memoryStores.update
Redactar una versión de memoria: memoryStores.update

Implementaciones

Permiso	Roles	Rutas autorizadas
`deployments.create`	Admin, User	`POST /v1/deployments`
`deployments.get`	Admin, User, Viewer	`GET /v1/deployment_runs` `GET /v1/deployment_runs/{deployment_run_id}` `GET /v1/deployments/{deployment_id}`
`deployments.list`	Admin, User, Viewer	`GET /v1/deployments`
`deployments.update`	Admin, User	`POST /v1/deployments/{deployment_id}`
`deployments.archive`	Admin, User	`POST /v1/deployments/{deployment_id}/archive`
`deployments.run`	Admin, User	`POST /v1/deployments/{deployment_id}/run`
`deployments.pause`	Admin, User	`POST /v1/deployments/{deployment_id}/pause`
`deployments.unpause`	Admin, User	`POST /v1/deployments/{deployment_id}/unpause`

Leer las ejecuciones de implementaciones requiere deployments.get.

Dreams

Permiso	Roles	Rutas autorizadas
`dreams.create`	Admin, User	`POST /v1/dreams`
`dreams.get`	Admin, User, Viewer	`GET /v1/dreams/{dream_id}`
`dreams.list`	Admin, User, Viewer	`GET /v1/dreams`
`dreams.archive`	Admin, User	`POST /v1/dreams/{dream_id}/archive`
`dreams.cancel`	Admin, User	`POST /v1/dreams/{dream_id}/cancel`

Dreams es una función en versión preliminar de investigación. Para solicitar acceso, consulta Dreams.

Claves de cifrado

Google Cloud registra estas rutas en los registros de auditoría de Admin Activity.

Permiso	Roles	Rutas autorizadas
`externalKeys.create`	Admin	`POST /v1/organizations/external_keys`
`externalKeys.get`	Admin	`GET /v1/organizations/external_keys/{external_key_id}`
`externalKeys.list`	Admin	`GET /v1/organizations/external_keys`
`externalKeys.update`	Admin	`POST /v1/organizations/external_keys/{external_key_id}`
`externalKeys.delete`	Admin	`DELETE /v1/organizations/external_keys/{external_key_id}`

Estos permisos administran los registros de claves de cifrado de tu organización. De los tres roles predefinidos, solo roles/claude.admin los incluye.

Informes de uso

Permiso	Roles	Rutas autorizadas
`usageAnalytics.list`	Admin	`GET /v1/organizations/usage_report/messages`

De los tres roles predefinidos, solo roles/claude.admin incluye usageAnalytics.list.

Detalles del servicio

Roles predefinidos

Permisos

Mensajes

Lotes de mensajes

Modelos

Archivos

Skills

Agentes

Sesiones

Entornos

Bóvedas

Almacenes de memoria

Implementaciones

Dreams

Claves de cifrado

Informes de uso

Consulta también