--- title: Autorizzazioni IAM per Claude Models on Google Cloud (Anthropic managed) url: https://platform.claude.com/docs/it/api/claude-models-on-google-cloud-anthropic-managed-iam-permissions description: Consulta le autorizzazioni IAM di Google Cloud, i ruoli predefiniti e i tipi di audit log per Claude Models on Google Cloud (Anthropic managed). --- Claude Models on Google Cloud (Anthropic managed) utilizza Google Cloud IAM per l'"access control" (controllo degli accessi). Ogni route dell'API richiede un'autorizzazione del servizio `claude.googleapis.com`. Se il chiamante non dispone di tale autorizzazione, Google Cloud restituisce un errore HTTP 403. Tre ruoli predefiniti raggruppano le autorizzazioni. Per la configurazione e l'autenticazione, consulta [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/it/build-with-claude/claude-models-on-google-cloud/anthropic-managed). ## Dettagli del servizio La tabella seguente descrive il servizio Google Cloud per Claude Models on Google Cloud (Anthropic managed). | Attributo | Valore | | --------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Servizio** | `claude.googleapis.com` | | **Dove vengono verificate le autorizzazioni** | Un workspace o l'organizzazione Anthropic | | **Tipi di "audit log" (log di controllo)** | Data Access, Admin Activity
Per attivare i log Data Access, consulta [Monitoraggio e logging](https://platform.claude.com/docs/it/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging). | Concedi i ruoli sul progetto Google Cloud. Per capire come sono correlati progetti, organizzazioni e workspace, consulta [Workspace](https://platform.claude.com/docs/it/build-with-claude/claude-models-on-google-cloud/anthropic-managed#workspaces). Le autorizzazioni in questa pagina sono nella forma breve `resource.verb`, ad esempio `messages.create`. ## Ruoli predefiniti La tabella seguente elenca i ruoli predefiniti per Claude Models on Google Cloud (Anthropic managed). | Ruolo | Nome visualizzato | Autorizzazioni | | --------------------- | ----------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `roles/claude.viewer` | Claude Viewer | Tutte le autorizzazioni `get` e `list` sulle risorse del workspace. | | `roles/claude.user` | Claude User | Tutto ciò che è incluso in `roles/claude.viewer`, più tutte le altre autorizzazioni sulle risorse del workspace.
Ad esempio, `messages.create`, `messages.countTokens` e `environments.processWork`. | | `roles/claude.admin` | Claude Admin | Tutto ciò che è incluso in `roles/claude.user`, più le autorizzazioni verificate sulla tua organizzazione Anthropic.
Ad esempio, `externalKeys.*` e `usageAnalytics.list`. | Nelle tabelle seguenti, **Admin**, **User** e **Viewer** indicano questi tre ruoli. ## Autorizzazioni Le tabelle seguenti elencano 68 autorizzazioni su 111 route. Le autorizzazioni `get` e `list` sono quelle di sola lettura. Salvo diversa indicazione in una sezione, il tipo di audit log di ogni route è Data Access. `roles/claude.viewer` non può inviare messaggi né contare i token. L'invio di un messaggio richiede `messages.create`. Il conteggio dei token richiede `messages.countTokens`. Alcune route nelle tabelle seguenti potrebbero non essere disponibili per la tua organizzazione. Per verificare quali funzionalità sono disponibili, consulta [Supporto delle funzionalità](https://platform.claude.com/docs/it/build-with-claude/claude-models-on-google-cloud/anthropic-managed#feature-support). ### Messaggi | Autorizzazione | Ruoli | Route autorizzate | | ---------------------- | ----------- | -------------------------------- | | `messages.create` | Admin, User | `POST /v1/messages` | | `messages.countTokens` | Admin, User | `POST /v1/messages/count_tokens` | ### Batch di messaggi | Autorizzazione | Ruoli | Route autorizzate | | ----------------------- | ------------------- | -------------------------------------------------------------------------------------------------------- | | `messageBatches.create` | Admin, User | `POST /v1/messages/batches` | | `messageBatches.get` | Admin, User, Viewer | `GET /v1/messages/batches/{message_batch_id}`
`GET /v1/messages/batches/{message_batch_id}/results` | | `messageBatches.list` | Admin, User, Viewer | `GET /v1/messages/batches` | | `messageBatches.delete` | Admin, User | `DELETE /v1/messages/batches/{message_batch_id}` | | `messageBatches.cancel` | Admin, User | `POST /v1/messages/batches/{message_batch_id}/cancel` | `roles/claude.viewer` può leggere i risultati dei batch. `messageBatches.get` autorizza sia la lettura dei metadati di un batch sia il download dei suoi risultati. ### Modelli | Autorizzazione | Ruoli | Route autorizzate | | -------------- | ------------------- | --------------------------- | | `models.get` | Admin, User, Viewer | `GET /v1/models/{model_id}` | | `models.list` | Admin, User, Viewer | `GET /v1/models` | ### File | Autorizzazione | Ruoli | Route autorizzate | | -------------- | ------------------- | ---------------------------------------------------------------- | | `files.create` | Admin, User | `POST /v1/files` | | `files.get` | Admin, User, Viewer | `GET /v1/files/{file_id}`
`GET /v1/files/{file_id}/content` | | `files.list` | Admin, User, Viewer | `GET /v1/files` | | `files.delete` | Admin, User | `DELETE /v1/files/{file_id}` | `roles/claude.viewer` può scaricare i file. `files.get` autorizza sia la lettura dei metadati di un file sia il download del suo contenuto. ### Skill | Autorizzazione | Ruoli | Route autorizzate | | --------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `skills.create` | Admin, User | `POST /v1/skills` | | `skills.get` | Admin, User, Viewer | `GET /v1/skills/{skill_id}`
`GET /v1/skills/{skill_id}/versions`
`GET /v1/skills/{skill_id}/versions/{version}`
`GET /v1/skills/{skill_id}/versions/{version}/content` | | `skills.list` | Admin, User, Viewer | `GET /v1/skills` | | `skills.update` | Admin, User | `POST /v1/skills/{skill_id}/versions`
`DELETE /v1/skills/{skill_id}/versions/{version}` | | `skills.delete` | Admin, User | `DELETE /v1/skills/{skill_id}` | La creazione o l'eliminazione di una versione di una skill richiede `skills.update`, non `skills.create` o `skills.delete`. ### Agenti | Autorizzazione | Ruoli | Route autorizzate | | ---------------- | ------------------- | --------------------------------------------------------------------- | | `agents.create` | Admin, User | `POST /v1/agents` | | `agents.get` | Admin, User, Viewer | `GET /v1/agents/{agent_id}`
`GET /v1/agents/{agent_id}/versions` | | `agents.list` | Admin, User, Viewer | `GET /v1/agents` | | `agents.update` | Admin, User | `POST /v1/agents/{agent_id}` | | `agents.archive` | Admin, User | `POST /v1/agents/{agent_id}/archive` | Puoi archiviare un agente ma non eliminarlo. ### Sessioni | Autorizzazione | Ruoli | Route autorizzate | | ------------------ | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `sessions.create` | Admin, User | `POST /v1/sessions` | | `sessions.get` | Admin, User, Viewer | `GET /v1/sessions/{session_id}`
`GET /v1/sessions/{session_id}/events`
`GET /v1/sessions/{session_id}/events/stream`
`GET /v1/sessions/{session_id}/resources`
`GET /v1/sessions/{session_id}/resources/{resource_id}`
`GET /v1/sessions/{session_id}/threads`
`GET /v1/sessions/{session_id}/threads/{thread_id}`
`GET /v1/sessions/{session_id}/threads/{thread_id}/events`
`GET /v1/sessions/{session_id}/threads/{thread_id}/stream` | | `sessions.list` | Admin, User, Viewer | `GET /v1/sessions` | | `sessions.update` | Admin, User | `POST /v1/sessions/{session_id}`
`POST /v1/sessions/{session_id}/events`
`POST /v1/sessions/{session_id}/resources`
`POST /v1/sessions/{session_id}/resources/{resource_id}`
`DELETE /v1/sessions/{session_id}/resources/{resource_id}` | | `sessions.archive` | Admin, User | `POST /v1/sessions/{session_id}/archive`
`POST /v1/sessions/{session_id}/threads/{thread_id}/archive` | | `sessions.delete` | Admin, User | `DELETE /v1/sessions/{session_id}` | `sessions.get` autorizza la lettura della sessione, della sua cronologia degli eventi e del suo flusso di eventi, delle sue risorse e dei suoi thread. Di conseguenza, `roles/claude.viewer` può leggere l'intera cronologia degli eventi di ogni sessione. Le altre operazioni sulle sessioni richiedono le seguenti autorizzazioni: * Invio di eventi: `sessions.update` * Aggiunta, modifica o rimozione di risorse della sessione: `sessions.update` * Archiviazione di un thread: `sessions.archive` ### Ambienti | Autorizzazione | Ruoli | Route autorizzate | | -------------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `environments.create` | Admin, User | `POST /v1/environments` | | `environments.get` | Admin, User, Viewer | `GET /v1/environments/{environment_id}`
`GET /v1/environments/{environment_id}/work`
`GET /v1/environments/{environment_id}/work/stats`
`GET /v1/environments/{environment_id}/work/{work_id}` | | `environments.list` | Admin, User, Viewer | `GET /v1/environments` | | `environments.update` | Admin, User | `POST /v1/environments/{environment_id}` | | `environments.archive` | Admin, User | `POST /v1/environments/{environment_id}/archive` | | `environments.delete` | Admin, User | `DELETE /v1/environments/{environment_id}` | | `environments.processWork` | Admin, User | `GET /v1/environments/{environment_id}/work/poll`
`POST /v1/environments/{environment_id}/work/{work_id}`
`POST /v1/environments/{environment_id}/work/{work_id}/ack`
`POST /v1/environments/{environment_id}/work/{work_id}/heartbeat`
`POST /v1/environments/{environment_id}/work/{work_id}/stop` | `roles/claude.user` e `roles/claude.admin` includono tutte le autorizzazioni di cui ha bisogno un worker di [sandbox self-hosted](https://platform.claude.com/docs/it/managed-agents/self-hosted-sandboxes). `environments.processWork` autorizza queste azioni del worker: * Polling del lavoro * Conferma degli elementi di lavoro * Invio di heartbeat per gli elementi di lavoro * Arresto degli elementi di lavoro * Aggiornamento degli elementi di lavoro Questa autorizzazione è separata da `environments.update`. La lettura della coda di lavoro e delle relative statistiche richiede solo `environments.get`. Oltre a `environments.processWork`, un worker ha bisogno di altre autorizzazioni per eseguire una sessione, come `sessions.get` per leggere la sessione e i suoi eventi, `sessions.update` per inviare i risultati degli strumenti e `skills.get` per scaricare le skill dell'agente. ### Vault Google Cloud registra queste route negli audit log Admin Activity, ad eccezione della route per `vaults.verify`, il cui tipo di audit log è Data Access. | Autorizzazione | Ruoli | Route autorizzate | | ---------------- | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `vaults.create` | Admin, User | `POST /v1/vaults` | | `vaults.get` | Admin, User, Viewer | `GET /v1/vaults/{vault_id}`
`GET /v1/vaults/{vault_id}/credentials`
`GET /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.list` | Admin, User, Viewer | `GET /v1/vaults` | | `vaults.update` | Admin, User | `POST /v1/vaults/{vault_id}`
`POST /v1/vaults/{vault_id}/credentials`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}`
`DELETE /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.archive` | Admin, User | `POST /v1/vaults/{vault_id}/archive`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive` | | `vaults.delete` | Admin, User | `DELETE /v1/vaults/{vault_id}` | | `vaults.verify` | Admin, User | `POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate` | Le operazioni sulle credenziali richiedono le seguenti autorizzazioni: * Creazione, modifica o eliminazione di una credenziale: `vaults.update` * Archiviazione di una credenziale: `vaults.archive` * Lettura di una credenziale: `vaults.get` * Verifica di una credenziale MCP OAuth memorizzata: `vaults.verify` Con `vaults.get`, `roles/claude.viewer` può elencare le credenziali di un vault. Claude Models on Google Cloud (Anthropic managed) non restituisce mai i campi segreti di una credenziale. Per saperne di più, consulta [Autenticarsi con i vault](https://platform.claude.com/docs/it/managed-agents/vaults). ### Archivi di memoria | Autorizzazione | Ruoli | Route autorizzate | | ---------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `memoryStores.create` | Admin, User | `POST /v1/memory_stores` | | `memoryStores.get` | Admin, User, Viewer | `GET /v1/memory_stores/{memory_store_id}`
`GET /v1/memory_stores/{memory_store_id}/memories`
`GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`GET /v1/memory_stores/{memory_store_id}/memory_versions`
`GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}` | | `memoryStores.list` | Admin, User, Viewer | `GET /v1/memory_stores` | | `memoryStores.update` | Admin, User | `POST /v1/memory_stores/{memory_store_id}`
`POST /v1/memory_stores/{memory_store_id}/memories`
`POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact` | | `memoryStores.archive` | Admin, User | `POST /v1/memory_stores/{memory_store_id}/archive` | | `memoryStores.delete` | Admin, User | `DELETE /v1/memory_stores/{memory_store_id}` | Le operazioni sugli archivi di memoria richiedono le seguenti autorizzazioni: * Lettura dell'archivio, delle sue memorie o della sua cronologia delle versioni: `memoryStores.get` * Creazione, modifica o eliminazione di una memoria: `memoryStores.update` * Oscuramento di una versione di una memoria: `memoryStores.update` ### Deployment | Autorizzazione | Ruoli | Route autorizzate | | --------------------- | ------------------- | ----------------------------------------------------------------------------------------------------------------------- | | `deployments.create` | Admin, User | `POST /v1/deployments` | | `deployments.get` | Admin, User, Viewer | `GET /v1/deployment_runs`
`GET /v1/deployment_runs/{deployment_run_id}`
`GET /v1/deployments/{deployment_id}` | | `deployments.list` | Admin, User, Viewer | `GET /v1/deployments` | | `deployments.update` | Admin, User | `POST /v1/deployments/{deployment_id}` | | `deployments.archive` | Admin, User | `POST /v1/deployments/{deployment_id}/archive` | | `deployments.run` | Admin, User | `POST /v1/deployments/{deployment_id}/run` | | `deployments.pause` | Admin, User | `POST /v1/deployments/{deployment_id}/pause` | | `deployments.unpause` | Admin, User | `POST /v1/deployments/{deployment_id}/unpause` | La lettura delle esecuzioni dei deployment richiede `deployments.get`. ### Dreams | Autorizzazione | Ruoli | Route autorizzate | | ---------------- | ------------------- | ------------------------------------ | | `dreams.create` | Admin, User | `POST /v1/dreams` | | `dreams.get` | Admin, User, Viewer | `GET /v1/dreams/{dream_id}` | | `dreams.list` | Admin, User, Viewer | `GET /v1/dreams` | | `dreams.archive` | Admin, User | `POST /v1/dreams/{dream_id}/archive` | | `dreams.cancel` | Admin, User | `POST /v1/dreams/{dream_id}/cancel` | Dreams è una funzionalità in anteprima di ricerca. Per richiedere l'accesso, consulta [Dreams](https://platform.claude.com/docs/it/managed-agents/dreams). ### Chiavi di crittografia Google Cloud registra queste route negli audit log Admin Activity. | Autorizzazione | Ruoli | Route autorizzate | | --------------------- | ----- | ---------------------------------------------------------- | | `externalKeys.create` | Admin | `POST /v1/organizations/external_keys` | | `externalKeys.get` | Admin | `GET /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.list` | Admin | `GET /v1/organizations/external_keys` | | `externalKeys.update` | Admin | `POST /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.delete` | Admin | `DELETE /v1/organizations/external_keys/{external_key_id}` | Queste autorizzazioni gestiscono le registrazioni delle chiavi di crittografia della tua organizzazione. Dei tre ruoli predefiniti, solo `roles/claude.admin` le include. ### Report di utilizzo | Autorizzazione | Ruoli | Route autorizzate | | --------------------- | ----- | --------------------------------------------- | | `usageAnalytics.list` | Admin | `GET /v1/organizations/usage_report/messages` | Dei tre ruoli predefiniti, solo `roles/claude.admin` include `usageAnalytics.list`. ## Vedi anche * [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/it/build-with-claude/claude-models-on-google-cloud/anthropic-managed) * [Ruoli IAM](https://platform.claude.com/docs/it/build-with-claude/claude-models-on-google-cloud/anthropic-managed#iam-roles) * [Monitoraggio e logging](https://platform.claude.com/docs/it/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)