--- title: Permisos de IAM para Claude Models on Google Cloud (Anthropic managed) url: https://platform.claude.com/docs/es/api/claude-models-on-google-cloud-anthropic-managed-iam-permissions description: Consulta los permisos de IAM de Google Cloud, los roles predefinidos y los tipos de registros de auditoría para Claude Models on Google Cloud (Anthropic managed). --- Claude Models on Google Cloud (Anthropic managed) usa IAM de Google Cloud para el control de acceso. Cada ruta de la API necesita un permiso del servicio `claude.googleapis.com`. Si quien realiza la llamada no tiene ese permiso, Google Cloud devuelve un error HTTP 403. Tres roles predefinidos agrupan los permisos. Para la configuración y la autenticación, consulta [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/es/build-with-claude/claude-models-on-google-cloud/anthropic-managed). ## Detalles del servicio La siguiente tabla describe el servicio de Google Cloud para Claude Models on Google Cloud (Anthropic managed). | Atributo | Valor | | ----------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | **Servicio** | `claude.googleapis.com` | | **Dónde se verifican los permisos** | Un espacio de trabajo o la organización de Anthropic | | **Tipos de registros de auditoría** | Data Access, Admin Activity
Para activar los registros de Data Access, consulta [Monitoreo y registro](https://platform.claude.com/docs/es/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging). | Otorga los roles en el proyecto de Google Cloud. Para saber cómo se relacionan los proyectos, las organizaciones y los espacios de trabajo, consulta [Espacios de trabajo](https://platform.claude.com/docs/es/build-with-claude/claude-models-on-google-cloud/anthropic-managed#workspaces). Los permisos de esta página están en la forma abreviada `resource.verb`, como `messages.create`. ## Roles predefinidos La siguiente tabla enumera los roles predefinidos para Claude Models on Google Cloud (Anthropic managed). | Rol | Nombre visible | Permisos | | --------------------- | -------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `roles/claude.viewer` | Claude Viewer | Todos los permisos `get` y `list` sobre los recursos del espacio de trabajo. | | `roles/claude.user` | Claude User | Todo lo incluido en `roles/claude.viewer`, más todos los demás permisos sobre los recursos del espacio de trabajo.
Por ejemplo, `messages.create`, `messages.countTokens` y `environments.processWork`. | | `roles/claude.admin` | Claude Admin | Todo lo incluido en `roles/claude.user`, más los permisos que se verifican en tu organización de Anthropic.
Por ejemplo, `externalKeys.*` y `usageAnalytics.list`. | En las siguientes tablas, **Admin**, **User** y **Viewer** representan estos tres roles. ## Permisos Las siguientes tablas enumeran 68 permisos en 111 rutas. Los permisos `get` y `list` son los de solo lectura. A menos que una sección indique lo contrario, el tipo de registro de auditoría de cada ruta es Data Access. `roles/claude.viewer` no puede enviar mensajes ni contar tokens. Enviar un mensaje requiere `messages.create`. Contar tokens requiere `messages.countTokens`. Es posible que algunas rutas de las siguientes tablas no estén disponibles para tu organización. Para comprobar qué funciones están disponibles, consulta [Compatibilidad de funciones](https://platform.claude.com/docs/es/build-with-claude/claude-models-on-google-cloud/anthropic-managed#feature-support). ### Mensajes | Permiso | Roles | Rutas autorizadas | | ---------------------- | ----------- | -------------------------------- | | `messages.create` | Admin, User | `POST /v1/messages` | | `messages.countTokens` | Admin, User | `POST /v1/messages/count_tokens` | ### Lotes de mensajes | Permiso | Roles | Rutas autorizadas | | ----------------------- | ------------------- | -------------------------------------------------------------------------------------------------------- | | `messageBatches.create` | Admin, User | `POST /v1/messages/batches` | | `messageBatches.get` | Admin, User, Viewer | `GET /v1/messages/batches/{message_batch_id}`
`GET /v1/messages/batches/{message_batch_id}/results` | | `messageBatches.list` | Admin, User, Viewer | `GET /v1/messages/batches` | | `messageBatches.delete` | Admin, User | `DELETE /v1/messages/batches/{message_batch_id}` | | `messageBatches.cancel` | Admin, User | `POST /v1/messages/batches/{message_batch_id}/cancel` | `roles/claude.viewer` puede leer los resultados de los lotes. `messageBatches.get` autoriza tanto la lectura de los metadatos de un lote como la descarga de sus resultados. ### Modelos | Permiso | Roles | Rutas autorizadas | | ------------- | ------------------- | --------------------------- | | `models.get` | Admin, User, Viewer | `GET /v1/models/{model_id}` | | `models.list` | Admin, User, Viewer | `GET /v1/models` | ### Archivos | Permiso | Roles | Rutas autorizadas | | -------------- | ------------------- | ---------------------------------------------------------------- | | `files.create` | Admin, User | `POST /v1/files` | | `files.get` | Admin, User, Viewer | `GET /v1/files/{file_id}`
`GET /v1/files/{file_id}/content` | | `files.list` | Admin, User, Viewer | `GET /v1/files` | | `files.delete` | Admin, User | `DELETE /v1/files/{file_id}` | `roles/claude.viewer` puede descargar archivos. `files.get` autoriza tanto la lectura de los metadatos de un archivo como la descarga de su contenido. ### Skills | Permiso | Roles | Rutas autorizadas | | --------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `skills.create` | Admin, User | `POST /v1/skills` | | `skills.get` | Admin, User, Viewer | `GET /v1/skills/{skill_id}`
`GET /v1/skills/{skill_id}/versions`
`GET /v1/skills/{skill_id}/versions/{version}`
`GET /v1/skills/{skill_id}/versions/{version}/content` | | `skills.list` | Admin, User, Viewer | `GET /v1/skills` | | `skills.update` | Admin, User | `POST /v1/skills/{skill_id}/versions`
`DELETE /v1/skills/{skill_id}/versions/{version}` | | `skills.delete` | Admin, User | `DELETE /v1/skills/{skill_id}` | Crear o eliminar una versión de una skill requiere `skills.update`, no `skills.create` ni `skills.delete`. ### Agentes | Permiso | Roles | Rutas autorizadas | | ---------------- | ------------------- | --------------------------------------------------------------------- | | `agents.create` | Admin, User | `POST /v1/agents` | | `agents.get` | Admin, User, Viewer | `GET /v1/agents/{agent_id}`
`GET /v1/agents/{agent_id}/versions` | | `agents.list` | Admin, User, Viewer | `GET /v1/agents` | | `agents.update` | Admin, User | `POST /v1/agents/{agent_id}` | | `agents.archive` | Admin, User | `POST /v1/agents/{agent_id}/archive` | Puedes archivar un agente, pero no eliminarlo. ### Sesiones | Permiso | Roles | Rutas autorizadas | | ------------------ | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `sessions.create` | Admin, User | `POST /v1/sessions` | | `sessions.get` | Admin, User, Viewer | `GET /v1/sessions/{session_id}`
`GET /v1/sessions/{session_id}/events`
`GET /v1/sessions/{session_id}/events/stream`
`GET /v1/sessions/{session_id}/resources`
`GET /v1/sessions/{session_id}/resources/{resource_id}`
`GET /v1/sessions/{session_id}/threads`
`GET /v1/sessions/{session_id}/threads/{thread_id}`
`GET /v1/sessions/{session_id}/threads/{thread_id}/events`
`GET /v1/sessions/{session_id}/threads/{thread_id}/stream` | | `sessions.list` | Admin, User, Viewer | `GET /v1/sessions` | | `sessions.update` | Admin, User | `POST /v1/sessions/{session_id}`
`POST /v1/sessions/{session_id}/events`
`POST /v1/sessions/{session_id}/resources`
`POST /v1/sessions/{session_id}/resources/{resource_id}`
`DELETE /v1/sessions/{session_id}/resources/{resource_id}` | | `sessions.archive` | Admin, User | `POST /v1/sessions/{session_id}/archive`
`POST /v1/sessions/{session_id}/threads/{thread_id}/archive` | | `sessions.delete` | Admin, User | `DELETE /v1/sessions/{session_id}` | `sessions.get` autoriza la lectura de la sesión, su historial de eventos y su flujo de eventos, sus recursos y sus hilos. Como resultado, `roles/claude.viewer` puede leer el historial de eventos completo de cada sesión. Otras operaciones de sesión requieren los siguientes permisos: * Enviar eventos: `sessions.update` * Agregar, cambiar o quitar recursos de la sesión: `sessions.update` * Archivar un hilo: `sessions.archive` ### Entornos | Permiso | Roles | Rutas autorizadas | | -------------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `environments.create` | Admin, User | `POST /v1/environments` | | `environments.get` | Admin, User, Viewer | `GET /v1/environments/{environment_id}`
`GET /v1/environments/{environment_id}/work`
`GET /v1/environments/{environment_id}/work/stats`
`GET /v1/environments/{environment_id}/work/{work_id}` | | `environments.list` | Admin, User, Viewer | `GET /v1/environments` | | `environments.update` | Admin, User | `POST /v1/environments/{environment_id}` | | `environments.archive` | Admin, User | `POST /v1/environments/{environment_id}/archive` | | `environments.delete` | Admin, User | `DELETE /v1/environments/{environment_id}` | | `environments.processWork` | Admin, User | `GET /v1/environments/{environment_id}/work/poll`
`POST /v1/environments/{environment_id}/work/{work_id}`
`POST /v1/environments/{environment_id}/work/{work_id}/ack`
`POST /v1/environments/{environment_id}/work/{work_id}/heartbeat`
`POST /v1/environments/{environment_id}/work/{work_id}/stop` | `roles/claude.user` y `roles/claude.admin` incluyen todos los permisos que necesita un worker de [sandbox autoalojado](https://platform.claude.com/docs/es/managed-agents/self-hosted-sandboxes). `environments.processWork` autoriza estas acciones del worker: * Consultar si hay trabajo * Confirmar elementos de trabajo * Enviar heartbeats para elementos de trabajo * Detener elementos de trabajo * Actualizar elementos de trabajo Este permiso es independiente de `environments.update`. Leer la cola de trabajo y sus estadísticas solo requiere `environments.get`. Además de `environments.processWork`, un worker necesita otros permisos para ejecutar una sesión, como `sessions.get` para leer la sesión y sus eventos, `sessions.update` para enviar resultados de herramientas y `skills.get` para descargar las skills del agente. ### Bóvedas Google Cloud registra estas rutas en los registros de auditoría de Admin Activity, excepto la ruta de `vaults.verify`, cuyo tipo de registro de auditoría es Data Access. | Permiso | Roles | Rutas autorizadas | | ---------------- | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `vaults.create` | Admin, User | `POST /v1/vaults` | | `vaults.get` | Admin, User, Viewer | `GET /v1/vaults/{vault_id}`
`GET /v1/vaults/{vault_id}/credentials`
`GET /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.list` | Admin, User, Viewer | `GET /v1/vaults` | | `vaults.update` | Admin, User | `POST /v1/vaults/{vault_id}`
`POST /v1/vaults/{vault_id}/credentials`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}`
`DELETE /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.archive` | Admin, User | `POST /v1/vaults/{vault_id}/archive`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive` | | `vaults.delete` | Admin, User | `DELETE /v1/vaults/{vault_id}` | | `vaults.verify` | Admin, User | `POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate` | Las operaciones con credenciales requieren los siguientes permisos: * Crear, cambiar o eliminar una credencial: `vaults.update` * Archivar una credencial: `vaults.archive` * Leer una credencial: `vaults.get` * Verificar una credencial OAuth de MCP almacenada: `vaults.verify` Con `vaults.get`, `roles/claude.viewer` puede enumerar las credenciales de una bóveda. Claude Models on Google Cloud (Anthropic managed) nunca devuelve los campos secretos de una credencial. Para obtener más información, consulta [Autenticarse con bóvedas](https://platform.claude.com/docs/es/managed-agents/vaults). ### Almacenes de memoria | Permiso | Roles | Rutas autorizadas | | ---------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `memoryStores.create` | Admin, User | `POST /v1/memory_stores` | | `memoryStores.get` | Admin, User, Viewer | `GET /v1/memory_stores/{memory_store_id}`
`GET /v1/memory_stores/{memory_store_id}/memories`
`GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`GET /v1/memory_stores/{memory_store_id}/memory_versions`
`GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}` | | `memoryStores.list` | Admin, User, Viewer | `GET /v1/memory_stores` | | `memoryStores.update` | Admin, User | `POST /v1/memory_stores/{memory_store_id}`
`POST /v1/memory_stores/{memory_store_id}/memories`
`POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact` | | `memoryStores.archive` | Admin, User | `POST /v1/memory_stores/{memory_store_id}/archive` | | `memoryStores.delete` | Admin, User | `DELETE /v1/memory_stores/{memory_store_id}` | Las operaciones con almacenes de memoria requieren los siguientes permisos: * Leer el almacén, sus memorias o su historial de versiones: `memoryStores.get` * Crear, cambiar o eliminar una memoria: `memoryStores.update` * Redactar una versión de memoria: `memoryStores.update` ### Implementaciones | Permiso | Roles | Rutas autorizadas | | --------------------- | ------------------- | ----------------------------------------------------------------------------------------------------------------------- | | `deployments.create` | Admin, User | `POST /v1/deployments` | | `deployments.get` | Admin, User, Viewer | `GET /v1/deployment_runs`
`GET /v1/deployment_runs/{deployment_run_id}`
`GET /v1/deployments/{deployment_id}` | | `deployments.list` | Admin, User, Viewer | `GET /v1/deployments` | | `deployments.update` | Admin, User | `POST /v1/deployments/{deployment_id}` | | `deployments.archive` | Admin, User | `POST /v1/deployments/{deployment_id}/archive` | | `deployments.run` | Admin, User | `POST /v1/deployments/{deployment_id}/run` | | `deployments.pause` | Admin, User | `POST /v1/deployments/{deployment_id}/pause` | | `deployments.unpause` | Admin, User | `POST /v1/deployments/{deployment_id}/unpause` | Leer las ejecuciones de implementaciones requiere `deployments.get`. ### Dreams | Permiso | Roles | Rutas autorizadas | | ---------------- | ------------------- | ------------------------------------ | | `dreams.create` | Admin, User | `POST /v1/dreams` | | `dreams.get` | Admin, User, Viewer | `GET /v1/dreams/{dream_id}` | | `dreams.list` | Admin, User, Viewer | `GET /v1/dreams` | | `dreams.archive` | Admin, User | `POST /v1/dreams/{dream_id}/archive` | | `dreams.cancel` | Admin, User | `POST /v1/dreams/{dream_id}/cancel` | Dreams es una función en versión preliminar de investigación. Para solicitar acceso, consulta [Dreams](https://platform.claude.com/docs/es/managed-agents/dreams). ### Claves de cifrado Google Cloud registra estas rutas en los registros de auditoría de Admin Activity. | Permiso | Roles | Rutas autorizadas | | --------------------- | ----- | ---------------------------------------------------------- | | `externalKeys.create` | Admin | `POST /v1/organizations/external_keys` | | `externalKeys.get` | Admin | `GET /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.list` | Admin | `GET /v1/organizations/external_keys` | | `externalKeys.update` | Admin | `POST /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.delete` | Admin | `DELETE /v1/organizations/external_keys/{external_key_id}` | Estos permisos administran los registros de claves de cifrado de tu organización. De los tres roles predefinidos, solo `roles/claude.admin` los incluye. ### Informes de uso | Permiso | Roles | Rutas autorizadas | | --------------------- | ----- | --------------------------------------------- | | `usageAnalytics.list` | Admin | `GET /v1/organizations/usage_report/messages` | De los tres roles predefinidos, solo `roles/claude.admin` incluye `usageAnalytics.list`. ## Consulta también * [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/es/build-with-claude/claude-models-on-google-cloud/anthropic-managed) * [Roles de IAM](https://platform.claude.com/docs/es/build-with-claude/claude-models-on-google-cloud/anthropic-managed#iam-roles) * [Monitoreo y registro](https://platform.claude.com/docs/es/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)