--- title: Autorisations IAM pour Claude Models on Google Cloud (Anthropic managed) url: https://platform.claude.com/docs/fr/api/claude-models-on-google-cloud-anthropic-managed-iam-permissions description: Consultez les autorisations IAM de Google Cloud, les rôles prédéfinis et les types de journaux d'audit pour Claude Models on Google Cloud (Anthropic managed). --- Claude Models on Google Cloud (Anthropic managed) utilise IAM de Google Cloud pour le contrôle d'accès. Chaque route de l'API nécessite une autorisation du service `claude.googleapis.com`. Si l'appelant ne dispose pas de cette autorisation, Google Cloud renvoie une erreur HTTP 403. Trois « predefined roles » (rôles prédéfinis) regroupent les autorisations. Pour la configuration et l'authentification, consultez [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/fr/build-with-claude/claude-models-on-google-cloud/anthropic-managed). ## Détails du service Le tableau suivant décrit le service Google Cloud pour Claude Models on Google Cloud (Anthropic managed). | Attribut | Valeur | | --------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Service** | `claude.googleapis.com` | | **Où les autorisations sont vérifiées** | Un espace de travail ou l'organisation Anthropic | | **Types de journaux d'audit** | Data Access, Admin Activity
Pour activer les journaux Data Access, consultez [Surveillance et journalisation](https://platform.claude.com/docs/fr/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging). | Attribuez les rôles sur le projet Google Cloud. Pour comprendre les relations entre projets, organisations et espaces de travail, consultez [Espaces de travail](https://platform.claude.com/docs/fr/build-with-claude/claude-models-on-google-cloud/anthropic-managed#workspaces). Les autorisations de cette page sont présentées sous la forme abrégée `resource.verb`, par exemple `messages.create`. ## Rôles prédéfinis Le tableau suivant répertorie les rôles prédéfinis pour Claude Models on Google Cloud (Anthropic managed). | Rôle | Nom d'affichage | Autorisations | | --------------------- | --------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `roles/claude.viewer` | Claude Viewer | Toutes les autorisations `get` et `list` sur les ressources de l'espace de travail. | | `roles/claude.user` | Claude User | Tout ce que contient `roles/claude.viewer`, plus toutes les autres autorisations sur les ressources de l'espace de travail.
Par exemple, `messages.create`, `messages.countTokens` et `environments.processWork`. | | `roles/claude.admin` | Claude Admin | Tout ce que contient `roles/claude.user`, plus les autorisations vérifiées sur votre organisation Anthropic.
Par exemple, `externalKeys.*` et `usageAnalytics.list`. | Dans les tableaux suivants, **Admin**, **User** et **Viewer** désignent ces trois rôles. ## Autorisations Les tableaux suivants répertorient 68 autorisations réparties sur 111 routes. Les autorisations `get` et `list` sont celles en lecture seule. Sauf indication contraire dans une section, le type de journal d'audit de chaque route est Data Access. `roles/claude.viewer` ne peut ni envoyer de messages ni compter les tokens. L'envoi d'un message nécessite `messages.create`. Le comptage des tokens nécessite `messages.countTokens`. Certaines routes des tableaux suivants peuvent ne pas être disponibles pour votre organisation. Pour vérifier quelles fonctionnalités sont disponibles, consultez [Prise en charge des fonctionnalités](https://platform.claude.com/docs/fr/build-with-claude/claude-models-on-google-cloud/anthropic-managed#feature-support). ### Messages | Autorisation | Rôles | Routes autorisées | | ---------------------- | ----------- | -------------------------------- | | `messages.create` | Admin, User | `POST /v1/messages` | | `messages.countTokens` | Admin, User | `POST /v1/messages/count_tokens` | ### Lots de messages | Autorisation | Rôles | Routes autorisées | | ----------------------- | ------------------- | -------------------------------------------------------------------------------------------------------- | | `messageBatches.create` | Admin, User | `POST /v1/messages/batches` | | `messageBatches.get` | Admin, User, Viewer | `GET /v1/messages/batches/{message_batch_id}`
`GET /v1/messages/batches/{message_batch_id}/results` | | `messageBatches.list` | Admin, User, Viewer | `GET /v1/messages/batches` | | `messageBatches.delete` | Admin, User | `DELETE /v1/messages/batches/{message_batch_id}` | | `messageBatches.cancel` | Admin, User | `POST /v1/messages/batches/{message_batch_id}/cancel` | `roles/claude.viewer` peut lire les résultats des lots. `messageBatches.get` autorise à la fois la lecture des métadonnées d'un lot et le téléchargement de ses résultats. ### Modèles | Autorisation | Rôles | Routes autorisées | | ------------- | ------------------- | --------------------------- | | `models.get` | Admin, User, Viewer | `GET /v1/models/{model_id}` | | `models.list` | Admin, User, Viewer | `GET /v1/models` | ### Fichiers | Autorisation | Rôles | Routes autorisées | | -------------- | ------------------- | ---------------------------------------------------------------- | | `files.create` | Admin, User | `POST /v1/files` | | `files.get` | Admin, User, Viewer | `GET /v1/files/{file_id}`
`GET /v1/files/{file_id}/content` | | `files.list` | Admin, User, Viewer | `GET /v1/files` | | `files.delete` | Admin, User | `DELETE /v1/files/{file_id}` | `roles/claude.viewer` peut télécharger des fichiers. `files.get` autorise à la fois la lecture des métadonnées d'un fichier et le téléchargement de son contenu. ### Skills | Autorisation | Rôles | Routes autorisées | | --------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `skills.create` | Admin, User | `POST /v1/skills` | | `skills.get` | Admin, User, Viewer | `GET /v1/skills/{skill_id}`
`GET /v1/skills/{skill_id}/versions`
`GET /v1/skills/{skill_id}/versions/{version}`
`GET /v1/skills/{skill_id}/versions/{version}/content` | | `skills.list` | Admin, User, Viewer | `GET /v1/skills` | | `skills.update` | Admin, User | `POST /v1/skills/{skill_id}/versions`
`DELETE /v1/skills/{skill_id}/versions/{version}` | | `skills.delete` | Admin, User | `DELETE /v1/skills/{skill_id}` | La création ou la suppression d'une version de skill nécessite `skills.update`, et non `skills.create` ou `skills.delete`. ### Agents | Autorisation | Rôles | Routes autorisées | | ---------------- | ------------------- | --------------------------------------------------------------------- | | `agents.create` | Admin, User | `POST /v1/agents` | | `agents.get` | Admin, User, Viewer | `GET /v1/agents/{agent_id}`
`GET /v1/agents/{agent_id}/versions` | | `agents.list` | Admin, User, Viewer | `GET /v1/agents` | | `agents.update` | Admin, User | `POST /v1/agents/{agent_id}` | | `agents.archive` | Admin, User | `POST /v1/agents/{agent_id}/archive` | Vous pouvez archiver un agent, mais pas le supprimer. ### Sessions | Autorisation | Rôles | Routes autorisées | | ------------------ | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `sessions.create` | Admin, User | `POST /v1/sessions` | | `sessions.get` | Admin, User, Viewer | `GET /v1/sessions/{session_id}`
`GET /v1/sessions/{session_id}/events`
`GET /v1/sessions/{session_id}/events/stream`
`GET /v1/sessions/{session_id}/resources`
`GET /v1/sessions/{session_id}/resources/{resource_id}`
`GET /v1/sessions/{session_id}/threads`
`GET /v1/sessions/{session_id}/threads/{thread_id}`
`GET /v1/sessions/{session_id}/threads/{thread_id}/events`
`GET /v1/sessions/{session_id}/threads/{thread_id}/stream` | | `sessions.list` | Admin, User, Viewer | `GET /v1/sessions` | | `sessions.update` | Admin, User | `POST /v1/sessions/{session_id}`
`POST /v1/sessions/{session_id}/events`
`POST /v1/sessions/{session_id}/resources`
`POST /v1/sessions/{session_id}/resources/{resource_id}`
`DELETE /v1/sessions/{session_id}/resources/{resource_id}` | | `sessions.archive` | Admin, User | `POST /v1/sessions/{session_id}/archive`
`POST /v1/sessions/{session_id}/threads/{thread_id}/archive` | | `sessions.delete` | Admin, User | `DELETE /v1/sessions/{session_id}` | `sessions.get` autorise la lecture de la session, de son historique d'événements et de son flux d'événements, de ses ressources et de ses fils. Par conséquent, `roles/claude.viewer` peut lire l'historique complet des événements de chaque session. Les autres opérations sur les sessions nécessitent les autorisations suivantes : * Envoi d'événements : `sessions.update` * Ajout, modification ou suppression de ressources de session : `sessions.update` * Archivage d'un fil : `sessions.archive` ### Environnements | Autorisation | Rôles | Routes autorisées | | -------------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `environments.create` | Admin, User | `POST /v1/environments` | | `environments.get` | Admin, User, Viewer | `GET /v1/environments/{environment_id}`
`GET /v1/environments/{environment_id}/work`
`GET /v1/environments/{environment_id}/work/stats`
`GET /v1/environments/{environment_id}/work/{work_id}` | | `environments.list` | Admin, User, Viewer | `GET /v1/environments` | | `environments.update` | Admin, User | `POST /v1/environments/{environment_id}` | | `environments.archive` | Admin, User | `POST /v1/environments/{environment_id}/archive` | | `environments.delete` | Admin, User | `DELETE /v1/environments/{environment_id}` | | `environments.processWork` | Admin, User | `GET /v1/environments/{environment_id}/work/poll`
`POST /v1/environments/{environment_id}/work/{work_id}`
`POST /v1/environments/{environment_id}/work/{work_id}/ack`
`POST /v1/environments/{environment_id}/work/{work_id}/heartbeat`
`POST /v1/environments/{environment_id}/work/{work_id}/stop` | `roles/claude.user` et `roles/claude.admin` incluent toutes les autorisations dont un worker de [sandbox auto-hébergé](https://platform.claude.com/docs/fr/managed-agents/self-hosted-sandboxes) a besoin. `environments.processWork` autorise les actions suivantes du worker : * Interroger la file pour obtenir du travail * Accuser réception des éléments de travail * Envoyer des signaux de pulsation (heartbeats) pour les éléments de travail * Arrêter des éléments de travail * Mettre à jour des éléments de travail Cette autorisation est distincte de `environments.update`. La lecture de la file de travail et de ses statistiques ne nécessite que `environments.get`. Outre `environments.processWork`, un worker a besoin d'autres autorisations pour exécuter une session, telles que `sessions.get` pour lire la session et ses événements, `sessions.update` pour envoyer les résultats d'outils et `skills.get` pour télécharger les skills de l'agent. ### Coffres-forts Google Cloud enregistre ces routes dans les journaux d'audit Admin Activity, à l'exception de la route pour `vaults.verify`, dont le type de journal d'audit est Data Access. | Autorisation | Rôles | Routes autorisées | | ---------------- | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `vaults.create` | Admin, User | `POST /v1/vaults` | | `vaults.get` | Admin, User, Viewer | `GET /v1/vaults/{vault_id}`
`GET /v1/vaults/{vault_id}/credentials`
`GET /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.list` | Admin, User, Viewer | `GET /v1/vaults` | | `vaults.update` | Admin, User | `POST /v1/vaults/{vault_id}`
`POST /v1/vaults/{vault_id}/credentials`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}`
`DELETE /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.archive` | Admin, User | `POST /v1/vaults/{vault_id}/archive`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive` | | `vaults.delete` | Admin, User | `DELETE /v1/vaults/{vault_id}` | | `vaults.verify` | Admin, User | `POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate` | Les opérations sur les identifiants nécessitent les autorisations suivantes : * Création, modification ou suppression d'un identifiant : `vaults.update` * Archivage d'un identifiant : `vaults.archive` * Lecture d'un identifiant : `vaults.get` * Vérification d'un identifiant OAuth MCP stocké : `vaults.verify` Avec `vaults.get`, `roles/claude.viewer` peut lister les identifiants d'un coffre-fort. Claude Models on Google Cloud (Anthropic managed) ne renvoie jamais les champs secrets d'un identifiant. Pour en savoir plus, consultez [S'authentifier avec les coffres-forts](https://platform.claude.com/docs/fr/managed-agents/vaults). ### Magasins de mémoire | Autorisation | Rôles | Routes autorisées | | ---------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `memoryStores.create` | Admin, User | `POST /v1/memory_stores` | | `memoryStores.get` | Admin, User, Viewer | `GET /v1/memory_stores/{memory_store_id}`
`GET /v1/memory_stores/{memory_store_id}/memories`
`GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`GET /v1/memory_stores/{memory_store_id}/memory_versions`
`GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}` | | `memoryStores.list` | Admin, User, Viewer | `GET /v1/memory_stores` | | `memoryStores.update` | Admin, User | `POST /v1/memory_stores/{memory_store_id}`
`POST /v1/memory_stores/{memory_store_id}/memories`
`POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact` | | `memoryStores.archive` | Admin, User | `POST /v1/memory_stores/{memory_store_id}/archive` | | `memoryStores.delete` | Admin, User | `DELETE /v1/memory_stores/{memory_store_id}` | Les opérations sur les magasins de mémoire nécessitent les autorisations suivantes : * Lecture du magasin, de ses mémoires ou de son historique de versions : `memoryStores.get` * Création, modification ou suppression d'une mémoire : `memoryStores.update` * Caviardage d'une version de mémoire : `memoryStores.update` ### Déploiements | Autorisation | Rôles | Routes autorisées | | --------------------- | ------------------- | ----------------------------------------------------------------------------------------------------------------------- | | `deployments.create` | Admin, User | `POST /v1/deployments` | | `deployments.get` | Admin, User, Viewer | `GET /v1/deployment_runs`
`GET /v1/deployment_runs/{deployment_run_id}`
`GET /v1/deployments/{deployment_id}` | | `deployments.list` | Admin, User, Viewer | `GET /v1/deployments` | | `deployments.update` | Admin, User | `POST /v1/deployments/{deployment_id}` | | `deployments.archive` | Admin, User | `POST /v1/deployments/{deployment_id}/archive` | | `deployments.run` | Admin, User | `POST /v1/deployments/{deployment_id}/run` | | `deployments.pause` | Admin, User | `POST /v1/deployments/{deployment_id}/pause` | | `deployments.unpause` | Admin, User | `POST /v1/deployments/{deployment_id}/unpause` | La lecture des exécutions de déploiement nécessite `deployments.get`. ### Dreams | Autorisation | Rôles | Routes autorisées | | ---------------- | ------------------- | ------------------------------------ | | `dreams.create` | Admin, User | `POST /v1/dreams` | | `dreams.get` | Admin, User, Viewer | `GET /v1/dreams/{dream_id}` | | `dreams.list` | Admin, User, Viewer | `GET /v1/dreams` | | `dreams.archive` | Admin, User | `POST /v1/dreams/{dream_id}/archive` | | `dreams.cancel` | Admin, User | `POST /v1/dreams/{dream_id}/cancel` | Dreams est une fonctionnalité en aperçu de recherche. Pour demander l'accès, consultez [Dreams](https://platform.claude.com/docs/fr/managed-agents/dreams). ### Clés de chiffrement Google Cloud enregistre ces routes dans les journaux d'audit Admin Activity. | Autorisation | Rôles | Routes autorisées | | --------------------- | ----- | ---------------------------------------------------------- | | `externalKeys.create` | Admin | `POST /v1/organizations/external_keys` | | `externalKeys.get` | Admin | `GET /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.list` | Admin | `GET /v1/organizations/external_keys` | | `externalKeys.update` | Admin | `POST /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.delete` | Admin | `DELETE /v1/organizations/external_keys/{external_key_id}` | Ces autorisations gèrent les enregistrements de clés de chiffrement de votre organisation. Parmi les trois rôles prédéfinis, seul `roles/claude.admin` les inclut. ### Rapports d'utilisation | Autorisation | Rôles | Routes autorisées | | --------------------- | ----- | --------------------------------------------- | | `usageAnalytics.list` | Admin | `GET /v1/organizations/usage_report/messages` | Parmi les trois rôles prédéfinis, seul `roles/claude.admin` inclut `usageAnalytics.list`. ## Voir aussi * [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/fr/build-with-claude/claude-models-on-google-cloud/anthropic-managed) * [Rôles IAM](https://platform.claude.com/docs/fr/build-with-claude/claude-models-on-google-cloud/anthropic-managed#iam-roles) * [Surveillance et journalisation](https://platform.claude.com/docs/fr/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)