Claude Platform Docs
Referensi APIDukungan & konfigurasi

Izin IAM untuk Claude Models on Google Cloud (Anthropic managed)

Cari izin IAM Google Cloud, peran bawaan, dan jenis log audit untuk Claude Models on Google Cloud (Anthropic managed).

Claude Models on Google Cloud (Anthropic managed) menggunakan IAM Google Cloud untuk kontrol akses. Setiap rute API memerlukan satu izin dari layanan claude.googleapis.com. Jika pemanggil tidak memiliki izin tersebut, Google Cloud mengembalikan error HTTP 403. Tiga peran bawaan menggabungkan izin-izin tersebut. Untuk penyiapan dan autentikasi, lihat Claude Models on Google Cloud (Anthropic managed).

Detail layanan

Tabel berikut menjelaskan layanan Google Cloud untuk Claude Models on Google Cloud (Anthropic managed).

AtributNilai
Layananclaude.googleapis.com
Tempat izin diperiksaSebuah workspace atau organisasi Anthropic
Jenis log auditData Access, Admin Activity
Untuk mengaktifkan log Data Access, lihat Pemantauan dan logging.

Berikan peran pada proyek Google Cloud. Untuk mengetahui bagaimana proyek, organisasi, dan workspace saling berhubungan, lihat Workspace.

Izin di halaman ini ditulis dalam bentuk singkat resource.verb, seperti messages.create.

Peran bawaan

Tabel berikut mencantumkan peran bawaan ("predefined roles") untuk Claude Models on Google Cloud (Anthropic managed).

PeranNama tampilanIzin
roles/claude.viewerClaude ViewerSetiap izin get dan list pada sumber daya workspace.
roles/claude.userClaude UserSemua yang ada di roles/claude.viewer, ditambah setiap izin lain pada sumber daya workspace.
Misalnya, messages.create, messages.countTokens, dan environments.processWork.
roles/claude.adminClaude AdminSemua yang ada di roles/claude.user, ditambah izin yang diperiksa pada organisasi Anthropic Anda.
Misalnya, externalKeys.* dan usageAnalytics.list.

Dalam tabel-tabel berikut, Admin, User, dan Viewer mewakili ketiga peran ini.

Izin

Tabel-tabel berikut mencantumkan 68 izin di 111 rute.

Izin get dan list adalah izin yang bersifat hanya-baca.

Kecuali suatu bagian menyatakan lain, jenis log audit setiap rute adalah Data Access.

roles/claude.viewer tidak dapat mengirim pesan atau menghitung token. Mengirim pesan memerlukan messages.create. Menghitung token memerlukan messages.countTokens.

Beberapa rute dalam tabel-tabel berikut mungkin tidak tersedia untuk organisasi Anda. Untuk memeriksa fitur mana yang tersedia, lihat Dukungan fitur.

Messages

IzinPeranRute yang diotorisasi
messages.createAdmin, UserPOST /v1/messages
messages.countTokensAdmin, UserPOST /v1/messages/count_tokens

Message batches

IzinPeranRute yang diotorisasi
messageBatches.createAdmin, UserPOST /v1/messages/batches
messageBatches.getAdmin, User, ViewerGET /v1/messages/batches/{message_batch_id}
GET /v1/messages/batches/{message_batch_id}/results
messageBatches.listAdmin, User, ViewerGET /v1/messages/batches
messageBatches.deleteAdmin, UserDELETE /v1/messages/batches/{message_batch_id}
messageBatches.cancelAdmin, UserPOST /v1/messages/batches/{message_batch_id}/cancel

roles/claude.viewer dapat membaca hasil batch. messageBatches.get mengotorisasi pembacaan metadata batch sekaligus pengunduhan hasilnya.

Models

IzinPeranRute yang diotorisasi
models.getAdmin, User, ViewerGET /v1/models/{model_id}
models.listAdmin, User, ViewerGET /v1/models

Files

IzinPeranRute yang diotorisasi
files.createAdmin, UserPOST /v1/files
files.getAdmin, User, ViewerGET /v1/files/{file_id}
GET /v1/files/{file_id}/content
files.listAdmin, User, ViewerGET /v1/files
files.deleteAdmin, UserDELETE /v1/files/{file_id}

roles/claude.viewer dapat mengunduh file. files.get mengotorisasi pembacaan metadata file sekaligus pengunduhan kontennya.

Skills

IzinPeranRute yang diotorisasi
skills.createAdmin, UserPOST /v1/skills
skills.getAdmin, User, ViewerGET /v1/skills/{skill_id}
GET /v1/skills/{skill_id}/versions
GET /v1/skills/{skill_id}/versions/{version}
GET /v1/skills/{skill_id}/versions/{version}/content
skills.listAdmin, User, ViewerGET /v1/skills
skills.updateAdmin, UserPOST /v1/skills/{skill_id}/versions
DELETE /v1/skills/{skill_id}/versions/{version}
skills.deleteAdmin, UserDELETE /v1/skills/{skill_id}

Membuat atau menghapus versi skill memerlukan skills.update, bukan skills.create atau skills.delete.

Agents

IzinPeranRute yang diotorisasi
agents.createAdmin, UserPOST /v1/agents
agents.getAdmin, User, ViewerGET /v1/agents/{agent_id}
GET /v1/agents/{agent_id}/versions
agents.listAdmin, User, ViewerGET /v1/agents
agents.updateAdmin, UserPOST /v1/agents/{agent_id}
agents.archiveAdmin, UserPOST /v1/agents/{agent_id}/archive

Anda dapat mengarsipkan agent tetapi tidak dapat menghapusnya.

Sessions

IzinPeranRute yang diotorisasi
sessions.createAdmin, UserPOST /v1/sessions
sessions.getAdmin, User, ViewerGET /v1/sessions/{session_id}
GET /v1/sessions/{session_id}/events
GET /v1/sessions/{session_id}/events/stream
GET /v1/sessions/{session_id}/resources
GET /v1/sessions/{session_id}/resources/{resource_id}
GET /v1/sessions/{session_id}/threads
GET /v1/sessions/{session_id}/threads/{thread_id}
GET /v1/sessions/{session_id}/threads/{thread_id}/events
GET /v1/sessions/{session_id}/threads/{thread_id}/stream
sessions.listAdmin, User, ViewerGET /v1/sessions
sessions.updateAdmin, UserPOST /v1/sessions/{session_id}
POST /v1/sessions/{session_id}/events
POST /v1/sessions/{session_id}/resources
POST /v1/sessions/{session_id}/resources/{resource_id}
DELETE /v1/sessions/{session_id}/resources/{resource_id}
sessions.archiveAdmin, UserPOST /v1/sessions/{session_id}/archive
POST /v1/sessions/{session_id}/threads/{thread_id}/archive
sessions.deleteAdmin, UserDELETE /v1/sessions/{session_id}

sessions.get mengotorisasi pembacaan sesi, riwayat event dan stream event-nya, sumber dayanya, serta thread-nya. Akibatnya, roles/claude.viewer dapat membaca riwayat event lengkap dari setiap sesi.

Operasi sesi lainnya memerlukan izin berikut:

  • Mengirim event: sessions.update
  • Menambahkan, mengubah, atau menghapus sumber daya sesi: sessions.update
  • Mengarsipkan thread: sessions.archive

Environments

IzinPeranRute yang diotorisasi
environments.createAdmin, UserPOST /v1/environments
environments.getAdmin, User, ViewerGET /v1/environments/{environment_id}
GET /v1/environments/{environment_id}/work
GET /v1/environments/{environment_id}/work/stats
GET /v1/environments/{environment_id}/work/{work_id}
environments.listAdmin, User, ViewerGET /v1/environments
environments.updateAdmin, UserPOST /v1/environments/{environment_id}
environments.archiveAdmin, UserPOST /v1/environments/{environment_id}/archive
environments.deleteAdmin, UserDELETE /v1/environments/{environment_id}
environments.processWorkAdmin, UserGET /v1/environments/{environment_id}/work/poll
POST /v1/environments/{environment_id}/work/{work_id}
POST /v1/environments/{environment_id}/work/{work_id}/ack
POST /v1/environments/{environment_id}/work/{work_id}/heartbeat
POST /v1/environments/{environment_id}/work/{work_id}/stop

roles/claude.user dan roles/claude.admin mencakup setiap izin yang diperlukan oleh worker sandbox yang di-host sendiri. environments.processWork mengotorisasi tindakan worker berikut:

  • Melakukan polling untuk pekerjaan
  • Mengonfirmasi item pekerjaan
  • Mengirim heartbeat untuk item pekerjaan
  • Menghentikan item pekerjaan
  • Memperbarui item pekerjaan

Izin ini terpisah dari environments.update. Membaca antrean pekerjaan dan statistiknya hanya memerlukan environments.get.

Selain environments.processWork, worker memerlukan izin lain untuk menjalankan sesi, seperti sessions.get untuk membaca sesi dan event-nya, sessions.update untuk mengirim hasil alat, dan skills.get untuk mengunduh skill milik agen.

Vaults

Google Cloud mencatat rute-rute ini dalam log audit Admin Activity, kecuali rute untuk vaults.verify, yang jenis log auditnya adalah Data Access.

IzinPeranRute yang diotorisasi
vaults.createAdmin, UserPOST /v1/vaults
vaults.getAdmin, User, ViewerGET /v1/vaults/{vault_id}
GET /v1/vaults/{vault_id}/credentials
GET /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.listAdmin, User, ViewerGET /v1/vaults
vaults.updateAdmin, UserPOST /v1/vaults/{vault_id}
POST /v1/vaults/{vault_id}/credentials
POST /v1/vaults/{vault_id}/credentials/{credential_id}
DELETE /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.archiveAdmin, UserPOST /v1/vaults/{vault_id}/archive
POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive
vaults.deleteAdmin, UserDELETE /v1/vaults/{vault_id}
vaults.verifyAdmin, UserPOST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate

Operasi kredensial memerlukan izin berikut:

  • Membuat, mengubah, atau menghapus kredensial: vaults.update
  • Mengarsipkan kredensial: vaults.archive
  • Membaca kredensial: vaults.get
  • Memeriksa kredensial MCP OAuth yang tersimpan: vaults.verify

Dengan vaults.get, roles/claude.viewer dapat mencantumkan kredensial sebuah vault. Claude Models on Google Cloud (Anthropic managed) tidak pernah mengembalikan field rahasia dari sebuah kredensial. Untuk mempelajari lebih lanjut, lihat Autentikasi dengan vault.

Memory stores

IzinPeranRute yang diotorisasi
memoryStores.createAdmin, UserPOST /v1/memory_stores
memoryStores.getAdmin, User, ViewerGET /v1/memory_stores/{memory_store_id}
GET /v1/memory_stores/{memory_store_id}/memories
GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}
GET /v1/memory_stores/{memory_store_id}/memory_versions
GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}
memoryStores.listAdmin, User, ViewerGET /v1/memory_stores
memoryStores.updateAdmin, UserPOST /v1/memory_stores/{memory_store_id}
POST /v1/memory_stores/{memory_store_id}/memories
POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}
DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}
POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact
memoryStores.archiveAdmin, UserPOST /v1/memory_stores/{memory_store_id}/archive
memoryStores.deleteAdmin, UserDELETE /v1/memory_stores/{memory_store_id}

Operasi memory store memerlukan izin berikut:

  • Membaca store, memori-memorinya, atau riwayat versinya: memoryStores.get
  • Membuat, mengubah, atau menghapus memori: memoryStores.update
  • Meredaksi versi memori: memoryStores.update

Deployments

IzinPeranRute yang diotorisasi
deployments.createAdmin, UserPOST /v1/deployments
deployments.getAdmin, User, ViewerGET /v1/deployment_runs
GET /v1/deployment_runs/{deployment_run_id}
GET /v1/deployments/{deployment_id}
deployments.listAdmin, User, ViewerGET /v1/deployments
deployments.updateAdmin, UserPOST /v1/deployments/{deployment_id}
deployments.archiveAdmin, UserPOST /v1/deployments/{deployment_id}/archive
deployments.runAdmin, UserPOST /v1/deployments/{deployment_id}/run
deployments.pauseAdmin, UserPOST /v1/deployments/{deployment_id}/pause
deployments.unpauseAdmin, UserPOST /v1/deployments/{deployment_id}/unpause

Membaca deployment run memerlukan deployments.get.

Dreams

IzinPeranRute yang diotorisasi
dreams.createAdmin, UserPOST /v1/dreams
dreams.getAdmin, User, ViewerGET /v1/dreams/{dream_id}
dreams.listAdmin, User, ViewerGET /v1/dreams
dreams.archiveAdmin, UserPOST /v1/dreams/{dream_id}/archive
dreams.cancelAdmin, UserPOST /v1/dreams/{dream_id}/cancel

Dreams adalah fitur pratinjau riset. Untuk meminta akses, lihat Dreams.

Kunci enkripsi

Google Cloud mencatat rute-rute ini dalam log audit Admin Activity.

IzinPeranRute yang diotorisasi
externalKeys.createAdminPOST /v1/organizations/external_keys
externalKeys.getAdminGET /v1/organizations/external_keys/{external_key_id}
externalKeys.listAdminGET /v1/organizations/external_keys
externalKeys.updateAdminPOST /v1/organizations/external_keys/{external_key_id}
externalKeys.deleteAdminDELETE /v1/organizations/external_keys/{external_key_id}

Izin-izin ini mengelola pendaftaran kunci enkripsi organisasi Anda. Dari ketiga peran bawaan, hanya roles/claude.admin yang menyertakannya.

Laporan penggunaan

IzinPeranRute yang diotorisasi
usageAnalytics.listAdminGET /v1/organizations/usage_report/messages

Dari ketiga peran bawaan, hanya roles/claude.admin yang menyertakan usageAnalytics.list.

Lihat juga

Was this page helpful?