Riferimento APISupporto e configurazione

Autorizzazioni IAM per Claude Models on Google Cloud (Anthropic managed)

Consulta le autorizzazioni IAM di Google Cloud, i ruoli predefiniti e i tipi di audit log per Claude Models on Google Cloud (Anthropic managed).

Claude Models on Google Cloud (Anthropic managed) utilizza Google Cloud IAM per l'"access control" (controllo degli accessi). Ogni route dell'API richiede un'autorizzazione del servizio claude.googleapis.com. Se il chiamante non dispone di tale autorizzazione, Google Cloud restituisce un errore HTTP 403. Tre ruoli predefiniti raggruppano le autorizzazioni. Per la configurazione e l'autenticazione, consulta Claude Models on Google Cloud (Anthropic managed).

Dettagli del servizio

La tabella seguente descrive il servizio Google Cloud per Claude Models on Google Cloud (Anthropic managed).

Attributo	Valore
Servizio	`claude.googleapis.com`
Dove vengono verificate le autorizzazioni	Un workspace o l'organizzazione Anthropic
Tipi di "audit log" (log di controllo)	Data Access, Admin Activity Per attivare i log Data Access, consulta Monitoraggio e logging.

Concedi i ruoli sul progetto Google Cloud. Per capire come sono correlati progetti, organizzazioni e workspace, consulta Workspace.

Le autorizzazioni in questa pagina sono nella forma breve resource.verb, ad esempio messages.create.

Ruoli predefiniti

La tabella seguente elenca i ruoli predefiniti per Claude Models on Google Cloud (Anthropic managed).

Ruolo	Nome visualizzato	Autorizzazioni
`roles/claude.viewer`	Claude Viewer	Tutte le autorizzazioni `get` e `list` sulle risorse del workspace.
`roles/claude.user`	Claude User	Tutto ciò che è incluso in `roles/claude.viewer`, più tutte le altre autorizzazioni sulle risorse del workspace. Ad esempio, `messages.create`, `messages.countTokens` e `environments.processWork`.
`roles/claude.admin`	Claude Admin	Tutto ciò che è incluso in `roles/claude.user`, più le autorizzazioni verificate sulla tua organizzazione Anthropic. Ad esempio, `externalKeys.*` e `usageAnalytics.list`.

Nelle tabelle seguenti, Admin, User e Viewer indicano questi tre ruoli.

Autorizzazioni

Le tabelle seguenti elencano 68 autorizzazioni su 111 route.

Le autorizzazioni get e list sono quelle di sola lettura.

Salvo diversa indicazione in una sezione, il tipo di audit log di ogni route è Data Access.

roles/claude.viewer non può inviare messaggi né contare i token. L'invio di un messaggio richiede messages.create. Il conteggio dei token richiede messages.countTokens.

Alcune route nelle tabelle seguenti potrebbero non essere disponibili per la tua organizzazione. Per verificare quali funzionalità sono disponibili, consulta Supporto delle funzionalità.

Messaggi

Autorizzazione	Ruoli	Route autorizzate
`messages.create`	Admin, User	`POST /v1/messages`
`messages.countTokens`	Admin, User	`POST /v1/messages/count_tokens`

Batch di messaggi

Autorizzazione	Ruoli	Route autorizzate
`messageBatches.create`	Admin, User	`POST /v1/messages/batches`
`messageBatches.get`	Admin, User, Viewer	`GET /v1/messages/batches/{message_batch_id}` `GET /v1/messages/batches/{message_batch_id}/results`
`messageBatches.list`	Admin, User, Viewer	`GET /v1/messages/batches`
`messageBatches.delete`	Admin, User	`DELETE /v1/messages/batches/{message_batch_id}`
`messageBatches.cancel`	Admin, User	`POST /v1/messages/batches/{message_batch_id}/cancel`

roles/claude.viewer può leggere i risultati dei batch. messageBatches.get autorizza sia la lettura dei metadati di un batch sia il download dei suoi risultati.

Modelli

Autorizzazione	Ruoli	Route autorizzate
`models.get`	Admin, User, Viewer	`GET /v1/models/{model_id}`
`models.list`	Admin, User, Viewer	`GET /v1/models`

File

Autorizzazione	Ruoli	Route autorizzate
`files.create`	Admin, User	`POST /v1/files`
`files.get`	Admin, User, Viewer	`GET /v1/files/{file_id}` `GET /v1/files/{file_id}/content`
`files.list`	Admin, User, Viewer	`GET /v1/files`
`files.delete`	Admin, User	`DELETE /v1/files/{file_id}`

roles/claude.viewer può scaricare i file. files.get autorizza sia la lettura dei metadati di un file sia il download del suo contenuto.

Skill

Autorizzazione	Ruoli	Route autorizzate
`skills.create`	Admin, User	`POST /v1/skills`
`skills.get`	Admin, User, Viewer	`GET /v1/skills/{skill_id}` `GET /v1/skills/{skill_id}/versions` `GET /v1/skills/{skill_id}/versions/{version}` `GET /v1/skills/{skill_id}/versions/{version}/content`
`skills.list`	Admin, User, Viewer	`GET /v1/skills`
`skills.update`	Admin, User	`POST /v1/skills/{skill_id}/versions` `DELETE /v1/skills/{skill_id}/versions/{version}`
`skills.delete`	Admin, User	`DELETE /v1/skills/{skill_id}`

La creazione o l'eliminazione di una versione di una skill richiede skills.update, non skills.create o skills.delete.

Agenti

Autorizzazione	Ruoli	Route autorizzate
`agents.create`	Admin, User	`POST /v1/agents`
`agents.get`	Admin, User, Viewer	`GET /v1/agents/{agent_id}` `GET /v1/agents/{agent_id}/versions`
`agents.list`	Admin, User, Viewer	`GET /v1/agents`
`agents.update`	Admin, User	`POST /v1/agents/{agent_id}`
`agents.archive`	Admin, User	`POST /v1/agents/{agent_id}/archive`

Puoi archiviare un agente ma non eliminarlo.

Sessioni

Autorizzazione	Ruoli	Route autorizzate
`sessions.create`	Admin, User	`POST /v1/sessions`
`sessions.get`	Admin, User, Viewer	`GET /v1/sessions/{session_id}` `GET /v1/sessions/{session_id}/events` `GET /v1/sessions/{session_id}/events/stream` `GET /v1/sessions/{session_id}/resources` `GET /v1/sessions/{session_id}/resources/{resource_id}` `GET /v1/sessions/{session_id}/threads` `GET /v1/sessions/{session_id}/threads/{thread_id}` `GET /v1/sessions/{session_id}/threads/{thread_id}/events` `GET /v1/sessions/{session_id}/threads/{thread_id}/stream`
`sessions.list`	Admin, User, Viewer	`GET /v1/sessions`
`sessions.update`	Admin, User	`POST /v1/sessions/{session_id}` `POST /v1/sessions/{session_id}/events` `POST /v1/sessions/{session_id}/resources` `POST /v1/sessions/{session_id}/resources/{resource_id}` `DELETE /v1/sessions/{session_id}/resources/{resource_id}`
`sessions.archive`	Admin, User	`POST /v1/sessions/{session_id}/archive` `POST /v1/sessions/{session_id}/threads/{thread_id}/archive`
`sessions.delete`	Admin, User	`DELETE /v1/sessions/{session_id}`

sessions.get autorizza la lettura della sessione, della sua cronologia degli eventi e del suo flusso di eventi, delle sue risorse e dei suoi thread. Di conseguenza, roles/claude.viewer può leggere l'intera cronologia degli eventi di ogni sessione.

Le altre operazioni sulle sessioni richiedono le seguenti autorizzazioni:

Invio di eventi: sessions.update
Aggiunta, modifica o rimozione di risorse della sessione: sessions.update
Archiviazione di un thread: sessions.archive

Ambienti

Autorizzazione	Ruoli	Route autorizzate
`environments.create`	Admin, User	`POST /v1/environments`
`environments.get`	Admin, User, Viewer	`GET /v1/environments/{environment_id}` `GET /v1/environments/{environment_id}/work` `GET /v1/environments/{environment_id}/work/stats` `GET /v1/environments/{environment_id}/work/{work_id}`
`environments.list`	Admin, User, Viewer	`GET /v1/environments`
`environments.update`	Admin, User	`POST /v1/environments/{environment_id}`
`environments.archive`	Admin, User	`POST /v1/environments/{environment_id}/archive`
`environments.delete`	Admin, User	`DELETE /v1/environments/{environment_id}`
`environments.processWork`	Admin, User	`GET /v1/environments/{environment_id}/work/poll` `POST /v1/environments/{environment_id}/work/{work_id}` `POST /v1/environments/{environment_id}/work/{work_id}/ack` `POST /v1/environments/{environment_id}/work/{work_id}/heartbeat` `POST /v1/environments/{environment_id}/work/{work_id}/stop`

roles/claude.user e roles/claude.admin includono tutte le autorizzazioni di cui ha bisogno un worker di sandbox self-hosted. environments.processWork autorizza queste azioni del worker:

Polling del lavoro
Conferma degli elementi di lavoro
Invio di heartbeat per gli elementi di lavoro
Arresto degli elementi di lavoro
Aggiornamento degli elementi di lavoro

Questa autorizzazione è separata da environments.update. La lettura della coda di lavoro e delle relative statistiche richiede solo environments.get.

Oltre a environments.processWork, un worker ha bisogno di altre autorizzazioni per eseguire una sessione, come sessions.get per leggere la sessione e i suoi eventi, sessions.update per inviare i risultati degli strumenti e skills.get per scaricare le skill dell'agente.

Vault

Google Cloud registra queste route negli audit log Admin Activity, ad eccezione della route per vaults.verify, il cui tipo di audit log è Data Access.

Autorizzazione	Ruoli	Route autorizzate
`vaults.create`	Admin, User	`POST /v1/vaults`
`vaults.get`	Admin, User, Viewer	`GET /v1/vaults/{vault_id}` `GET /v1/vaults/{vault_id}/credentials` `GET /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.list`	Admin, User, Viewer	`GET /v1/vaults`
`vaults.update`	Admin, User	`POST /v1/vaults/{vault_id}` `POST /v1/vaults/{vault_id}/credentials` `POST /v1/vaults/{vault_id}/credentials/{credential_id}` `DELETE /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.archive`	Admin, User	`POST /v1/vaults/{vault_id}/archive` `POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive`
`vaults.delete`	Admin, User	`DELETE /v1/vaults/{vault_id}`
`vaults.verify`	Admin, User	`POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate`

Le operazioni sulle credenziali richiedono le seguenti autorizzazioni:

Creazione, modifica o eliminazione di una credenziale: vaults.update
Archiviazione di una credenziale: vaults.archive
Lettura di una credenziale: vaults.get
Verifica di una credenziale MCP OAuth memorizzata: vaults.verify

Con vaults.get, roles/claude.viewer può elencare le credenziali di un vault. Claude Models on Google Cloud (Anthropic managed) non restituisce mai i campi segreti di una credenziale. Per saperne di più, consulta Autenticarsi con i vault.

Archivi di memoria

Autorizzazione	Ruoli	Route autorizzate
`memoryStores.create`	Admin, User	`POST /v1/memory_stores`
`memoryStores.get`	Admin, User, Viewer	`GET /v1/memory_stores/{memory_store_id}` `GET /v1/memory_stores/{memory_store_id}/memories` `GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `GET /v1/memory_stores/{memory_store_id}/memory_versions` `GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}`
`memoryStores.list`	Admin, User, Viewer	`GET /v1/memory_stores`
`memoryStores.update`	Admin, User	`POST /v1/memory_stores/{memory_store_id}` `POST /v1/memory_stores/{memory_store_id}/memories` `POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact`
`memoryStores.archive`	Admin, User	`POST /v1/memory_stores/{memory_store_id}/archive`
`memoryStores.delete`	Admin, User	`DELETE /v1/memory_stores/{memory_store_id}`

Le operazioni sugli archivi di memoria richiedono le seguenti autorizzazioni:

Lettura dell'archivio, delle sue memorie o della sua cronologia delle versioni: memoryStores.get
Creazione, modifica o eliminazione di una memoria: memoryStores.update
Oscuramento di una versione di una memoria: memoryStores.update

Deployment

Autorizzazione	Ruoli	Route autorizzate
`deployments.create`	Admin, User	`POST /v1/deployments`
`deployments.get`	Admin, User, Viewer	`GET /v1/deployment_runs` `GET /v1/deployment_runs/{deployment_run_id}` `GET /v1/deployments/{deployment_id}`
`deployments.list`	Admin, User, Viewer	`GET /v1/deployments`
`deployments.update`	Admin, User	`POST /v1/deployments/{deployment_id}`
`deployments.archive`	Admin, User	`POST /v1/deployments/{deployment_id}/archive`
`deployments.run`	Admin, User	`POST /v1/deployments/{deployment_id}/run`
`deployments.pause`	Admin, User	`POST /v1/deployments/{deployment_id}/pause`
`deployments.unpause`	Admin, User	`POST /v1/deployments/{deployment_id}/unpause`

La lettura delle esecuzioni dei deployment richiede deployments.get.

Dreams

Autorizzazione	Ruoli	Route autorizzate
`dreams.create`	Admin, User	`POST /v1/dreams`
`dreams.get`	Admin, User, Viewer	`GET /v1/dreams/{dream_id}`
`dreams.list`	Admin, User, Viewer	`GET /v1/dreams`
`dreams.archive`	Admin, User	`POST /v1/dreams/{dream_id}/archive`
`dreams.cancel`	Admin, User	`POST /v1/dreams/{dream_id}/cancel`

Dreams è una funzionalità in anteprima di ricerca. Per richiedere l'accesso, consulta Dreams.

Chiavi di crittografia

Google Cloud registra queste route negli audit log Admin Activity.

Autorizzazione	Ruoli	Route autorizzate
`externalKeys.create`	Admin	`POST /v1/organizations/external_keys`
`externalKeys.get`	Admin	`GET /v1/organizations/external_keys/{external_key_id}`
`externalKeys.list`	Admin	`GET /v1/organizations/external_keys`
`externalKeys.update`	Admin	`POST /v1/organizations/external_keys/{external_key_id}`
`externalKeys.delete`	Admin	`DELETE /v1/organizations/external_keys/{external_key_id}`

Queste autorizzazioni gestiscono le registrazioni delle chiavi di crittografia della tua organizzazione. Dei tre ruoli predefiniti, solo roles/claude.admin le include.

Report di utilizzo

Autorizzazione	Ruoli	Route autorizzate
`usageAnalytics.list`	Admin	`GET /v1/organizations/usage_report/messages`

Dei tre ruoli predefiniti, solo roles/claude.admin include usageAnalytics.list.

Dettagli del servizio

Ruoli predefiniti

Autorizzazioni

Messaggi

Batch di messaggi

Modelli

File

Skill

Agenti

Sessioni

Ambienti

Vault

Archivi di memoria

Deployment

Dreams

Chiavi di crittografia

Report di utilizzo

Vedi anche