Autorisations IAM pour Claude Models on Google Cloud (Anthropic managed)
Consultez les autorisations IAM de Google Cloud, les rôles prédéfinis et les types de journaux d'audit pour Claude Models on Google Cloud (Anthropic managed).
Claude Models on Google Cloud (Anthropic managed) utilise IAM de Google Cloud pour le contrôle d'accès. Chaque route de l'API nécessite une autorisation du service claude.googleapis.com. Si l'appelant ne dispose pas de cette autorisation, Google Cloud renvoie une erreur HTTP 403. Trois « predefined roles » (rôles prédéfinis) regroupent les autorisations. Pour la configuration et l'authentification, consultez Claude Models on Google Cloud (Anthropic managed).
Détails du service
Le tableau suivant décrit le service Google Cloud pour Claude Models on Google Cloud (Anthropic managed).
| Attribut | Valeur |
|---|---|
| Service | claude.googleapis.com |
| Où les autorisations sont vérifiées | Un espace de travail ou l'organisation Anthropic |
| Types de journaux d'audit | Data Access, Admin Activity Pour activer les journaux Data Access, consultez Surveillance et journalisation. |
Attribuez les rôles sur le projet Google Cloud. Pour comprendre les relations entre projets, organisations et espaces de travail, consultez Espaces de travail.
Les autorisations de cette page sont présentées sous la forme abrégée resource.verb, par exemple messages.create.
Rôles prédéfinis
Le tableau suivant répertorie les rôles prédéfinis pour Claude Models on Google Cloud (Anthropic managed).
| Rôle | Nom d'affichage | Autorisations |
|---|---|---|
roles/claude.viewer | Claude Viewer | Toutes les autorisations get et list sur les ressources de l'espace de travail. |
roles/claude.user | Claude User | Tout ce que contient roles/claude.viewer, plus toutes les autres autorisations sur les ressources de l'espace de travail.Par exemple, messages.create, messages.countTokens et environments.processWork. |
roles/claude.admin | Claude Admin | Tout ce que contient roles/claude.user, plus les autorisations vérifiées sur votre organisation Anthropic.Par exemple, externalKeys.* et usageAnalytics.list. |
Dans les tableaux suivants, Admin, User et Viewer désignent ces trois rôles.
Autorisations
Les tableaux suivants répertorient 68 autorisations réparties sur 111 routes.
Les autorisations get et list sont celles en lecture seule.
Sauf indication contraire dans une section, le type de journal d'audit de chaque route est Data Access.
roles/claude.viewer ne peut ni envoyer de messages ni compter les tokens. L'envoi d'un message nécessite messages.create. Le comptage des tokens nécessite messages.countTokens.
Certaines routes des tableaux suivants peuvent ne pas être disponibles pour votre organisation. Pour vérifier quelles fonctionnalités sont disponibles, consultez Prise en charge des fonctionnalités.
Messages
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
messages.create | Admin, User | POST /v1/messages |
messages.countTokens | Admin, User | POST /v1/messages/count_tokens |
Lots de messages
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
messageBatches.create | Admin, User | POST /v1/messages/batches |
messageBatches.get | Admin, User, Viewer | GET /v1/messages/batches/{message_batch_id}GET /v1/messages/batches/{message_batch_id}/results |
messageBatches.list | Admin, User, Viewer | GET /v1/messages/batches |
messageBatches.delete | Admin, User | DELETE /v1/messages/batches/{message_batch_id} |
messageBatches.cancel | Admin, User | POST /v1/messages/batches/{message_batch_id}/cancel |
roles/claude.viewer peut lire les résultats des lots. messageBatches.get autorise à la fois la lecture des métadonnées d'un lot et le téléchargement de ses résultats.
Modèles
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
models.get | Admin, User, Viewer | GET /v1/models/{model_id} |
models.list | Admin, User, Viewer | GET /v1/models |
Fichiers
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
files.create | Admin, User | POST /v1/files |
files.get | Admin, User, Viewer | GET /v1/files/{file_id}GET /v1/files/{file_id}/content |
files.list | Admin, User, Viewer | GET /v1/files |
files.delete | Admin, User | DELETE /v1/files/{file_id} |
roles/claude.viewer peut télécharger des fichiers. files.get autorise à la fois la lecture des métadonnées d'un fichier et le téléchargement de son contenu.
Skills
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
skills.create | Admin, User | POST /v1/skills |
skills.get | Admin, User, Viewer | GET /v1/skills/{skill_id}GET /v1/skills/{skill_id}/versionsGET /v1/skills/{skill_id}/versions/{version}GET /v1/skills/{skill_id}/versions/{version}/content |
skills.list | Admin, User, Viewer | GET /v1/skills |
skills.update | Admin, User | POST /v1/skills/{skill_id}/versionsDELETE /v1/skills/{skill_id}/versions/{version} |
skills.delete | Admin, User | DELETE /v1/skills/{skill_id} |
La création ou la suppression d'une version de skill nécessite skills.update, et non skills.create ou skills.delete.
Agents
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
agents.create | Admin, User | POST /v1/agents |
agents.get | Admin, User, Viewer | GET /v1/agents/{agent_id}GET /v1/agents/{agent_id}/versions |
agents.list | Admin, User, Viewer | GET /v1/agents |
agents.update | Admin, User | POST /v1/agents/{agent_id} |
agents.archive | Admin, User | POST /v1/agents/{agent_id}/archive |
Vous pouvez archiver un agent, mais pas le supprimer.
Sessions
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
sessions.create | Admin, User | POST /v1/sessions |
sessions.get | Admin, User, Viewer | GET /v1/sessions/{session_id}GET /v1/sessions/{session_id}/eventsGET /v1/sessions/{session_id}/events/streamGET /v1/sessions/{session_id}/resourcesGET /v1/sessions/{session_id}/resources/{resource_id}GET /v1/sessions/{session_id}/threadsGET /v1/sessions/{session_id}/threads/{thread_id}GET /v1/sessions/{session_id}/threads/{thread_id}/eventsGET /v1/sessions/{session_id}/threads/{thread_id}/stream |
sessions.list | Admin, User, Viewer | GET /v1/sessions |
sessions.update | Admin, User | POST /v1/sessions/{session_id}POST /v1/sessions/{session_id}/eventsPOST /v1/sessions/{session_id}/resourcesPOST /v1/sessions/{session_id}/resources/{resource_id}DELETE /v1/sessions/{session_id}/resources/{resource_id} |
sessions.archive | Admin, User | POST /v1/sessions/{session_id}/archivePOST /v1/sessions/{session_id}/threads/{thread_id}/archive |
sessions.delete | Admin, User | DELETE /v1/sessions/{session_id} |
sessions.get autorise la lecture de la session, de son historique d'événements et de son flux d'événements, de ses ressources et de ses fils. Par conséquent, roles/claude.viewer peut lire l'historique complet des événements de chaque session.
Les autres opérations sur les sessions nécessitent les autorisations suivantes :
- Envoi d'événements :
sessions.update - Ajout, modification ou suppression de ressources de session :
sessions.update - Archivage d'un fil :
sessions.archive
Environnements
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
environments.create | Admin, User | POST /v1/environments |
environments.get | Admin, User, Viewer | GET /v1/environments/{environment_id}GET /v1/environments/{environment_id}/workGET /v1/environments/{environment_id}/work/statsGET /v1/environments/{environment_id}/work/{work_id} |
environments.list | Admin, User, Viewer | GET /v1/environments |
environments.update | Admin, User | POST /v1/environments/{environment_id} |
environments.archive | Admin, User | POST /v1/environments/{environment_id}/archive |
environments.delete | Admin, User | DELETE /v1/environments/{environment_id} |
environments.processWork | Admin, User | GET /v1/environments/{environment_id}/work/pollPOST /v1/environments/{environment_id}/work/{work_id}POST /v1/environments/{environment_id}/work/{work_id}/ackPOST /v1/environments/{environment_id}/work/{work_id}/heartbeatPOST /v1/environments/{environment_id}/work/{work_id}/stop |
roles/claude.user et roles/claude.admin incluent toutes les autorisations dont un worker de sandbox auto-hébergé a besoin. environments.processWork autorise les actions suivantes du worker :
- Interroger la file pour obtenir du travail
- Accuser réception des éléments de travail
- Envoyer des signaux de pulsation (heartbeats) pour les éléments de travail
- Arrêter des éléments de travail
- Mettre à jour des éléments de travail
Cette autorisation est distincte de environments.update. La lecture de la file de travail et de ses statistiques ne nécessite que environments.get.
Outre environments.processWork, un worker a besoin d'autres autorisations pour exécuter une session, telles que sessions.get pour lire la session et ses événements, sessions.update pour envoyer les résultats d'outils et skills.get pour télécharger les skills de l'agent.
Coffres-forts
Google Cloud enregistre ces routes dans les journaux d'audit Admin Activity, à l'exception de la route pour vaults.verify, dont le type de journal d'audit est Data Access.
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
vaults.create | Admin, User | POST /v1/vaults |
vaults.get | Admin, User, Viewer | GET /v1/vaults/{vault_id}GET /v1/vaults/{vault_id}/credentialsGET /v1/vaults/{vault_id}/credentials/{credential_id} |
vaults.list | Admin, User, Viewer | GET /v1/vaults |
vaults.update | Admin, User | POST /v1/vaults/{vault_id}POST /v1/vaults/{vault_id}/credentialsPOST /v1/vaults/{vault_id}/credentials/{credential_id}DELETE /v1/vaults/{vault_id}/credentials/{credential_id} |
vaults.archive | Admin, User | POST /v1/vaults/{vault_id}/archivePOST /v1/vaults/{vault_id}/credentials/{credential_id}/archive |
vaults.delete | Admin, User | DELETE /v1/vaults/{vault_id} |
vaults.verify | Admin, User | POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate |
Les opérations sur les identifiants nécessitent les autorisations suivantes :
- Création, modification ou suppression d'un identifiant :
vaults.update - Archivage d'un identifiant :
vaults.archive - Lecture d'un identifiant :
vaults.get - Vérification d'un identifiant OAuth MCP stocké :
vaults.verify
Avec vaults.get, roles/claude.viewer peut lister les identifiants d'un coffre-fort. Claude Models on Google Cloud (Anthropic managed) ne renvoie jamais les champs secrets d'un identifiant. Pour en savoir plus, consultez S'authentifier avec les coffres-forts.
Magasins de mémoire
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
memoryStores.create | Admin, User | POST /v1/memory_stores |
memoryStores.get | Admin, User, Viewer | GET /v1/memory_stores/{memory_store_id}GET /v1/memory_stores/{memory_store_id}/memoriesGET /v1/memory_stores/{memory_store_id}/memories/{memory_id}GET /v1/memory_stores/{memory_store_id}/memory_versionsGET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id} |
memoryStores.list | Admin, User, Viewer | GET /v1/memory_stores |
memoryStores.update | Admin, User | POST /v1/memory_stores/{memory_store_id}POST /v1/memory_stores/{memory_store_id}/memoriesPOST /v1/memory_stores/{memory_store_id}/memories/{memory_id}DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact |
memoryStores.archive | Admin, User | POST /v1/memory_stores/{memory_store_id}/archive |
memoryStores.delete | Admin, User | DELETE /v1/memory_stores/{memory_store_id} |
Les opérations sur les magasins de mémoire nécessitent les autorisations suivantes :
- Lecture du magasin, de ses mémoires ou de son historique de versions :
memoryStores.get - Création, modification ou suppression d'une mémoire :
memoryStores.update - Caviardage d'une version de mémoire :
memoryStores.update
Déploiements
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
deployments.create | Admin, User | POST /v1/deployments |
deployments.get | Admin, User, Viewer | GET /v1/deployment_runsGET /v1/deployment_runs/{deployment_run_id}GET /v1/deployments/{deployment_id} |
deployments.list | Admin, User, Viewer | GET /v1/deployments |
deployments.update | Admin, User | POST /v1/deployments/{deployment_id} |
deployments.archive | Admin, User | POST /v1/deployments/{deployment_id}/archive |
deployments.run | Admin, User | POST /v1/deployments/{deployment_id}/run |
deployments.pause | Admin, User | POST /v1/deployments/{deployment_id}/pause |
deployments.unpause | Admin, User | POST /v1/deployments/{deployment_id}/unpause |
La lecture des exécutions de déploiement nécessite deployments.get.
Dreams
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
dreams.create | Admin, User | POST /v1/dreams |
dreams.get | Admin, User, Viewer | GET /v1/dreams/{dream_id} |
dreams.list | Admin, User, Viewer | GET /v1/dreams |
dreams.archive | Admin, User | POST /v1/dreams/{dream_id}/archive |
dreams.cancel | Admin, User | POST /v1/dreams/{dream_id}/cancel |
Dreams est une fonctionnalité en aperçu de recherche. Pour demander l'accès, consultez Dreams.
Clés de chiffrement
Google Cloud enregistre ces routes dans les journaux d'audit Admin Activity.
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
externalKeys.create | Admin | POST /v1/organizations/external_keys |
externalKeys.get | Admin | GET /v1/organizations/external_keys/{external_key_id} |
externalKeys.list | Admin | GET /v1/organizations/external_keys |
externalKeys.update | Admin | POST /v1/organizations/external_keys/{external_key_id} |
externalKeys.delete | Admin | DELETE /v1/organizations/external_keys/{external_key_id} |
Ces autorisations gèrent les enregistrements de clés de chiffrement de votre organisation. Parmi les trois rôles prédéfinis, seul roles/claude.admin les inclut.
Rapports d'utilisation
| Autorisation | Rôles | Routes autorisées |
|---|---|---|
usageAnalytics.list | Admin | GET /v1/organizations/usage_report/messages |
Parmi les trois rôles prédéfinis, seul roles/claude.admin inclut usageAnalytics.list.
Voir aussi
Was this page helpful?