Claude Platform Docs
APIリファレンスサポートと設定

Claude Models on Google Cloud (Anthropic managed) の IAM 権限

Claude Models on Google Cloud (Anthropic managed) の Google Cloud IAM 権限、事前定義ロール、監査ログの種類を確認します。

Claude Models on Google Cloud (Anthropic managed) は、アクセス制御に Google Cloud IAM を使用します。すべての API ルートには、claude.googleapis.com サービスの権限が 1 つ必要です。呼び出し元がその権限を持っていない場合、Google Cloud は HTTP 403 エラーを返します。3 つの事前定義ロールが権限をまとめています。セットアップと認証については、Claude Models on Google Cloud (Anthropic managed) を参照してください。

サービスの詳細

次の表は、Claude Models on Google Cloud (Anthropic managed) の Google Cloud サービスについて説明しています。

属性値
サービスclaude.googleapis.com
権限がチェックされる場所ワークスペースまたは Anthropic 組織
監査ログの種類データアクセス、管理アクティビティ
データアクセスログを有効にするには、モニタリングとログ記録を参照してください。

ロールは Google Cloud プロジェクトに対して付与します。プロジェクト、組織、ワークスペースの関係については、ワークスペースを参照してください。

このページの権限は、messages.create のような resource.verb という短縮形で記載されています。

事前定義ロール

次の表は、Claude Models on Google Cloud (Anthropic managed) の事前定義ロールの一覧です。

ロール表示名権限
roles/claude.viewerClaude Viewerワークスペースリソースに対するすべての get および list 権限。
roles/claude.userClaude Userroles/claude.viewer のすべての権限に加え、ワークスペースリソースに対するその他すべての権限。
例：messages.create、messages.countTokens、environments.processWork。
roles/claude.adminClaude Adminroles/claude.user のすべての権限に加え、Anthropic 組織に対してチェックされる権限。
例：externalKeys.*、usageAnalytics.list。

以下の表では、Admin、User、Viewer はこれら 3 つのロールを表します。

権限

以下の表には、111 のルートにわたる 68 の権限が記載されています。

get および list 権限は読み取り専用の権限です。

セクションで特に記載がない限り、各ルートの監査ログの種類はデータアクセスです。

roles/claude.viewer はメッセージの送信やトークンのカウントを行えません。メッセージの送信には messages.create が必要です。トークンのカウントには messages.countTokens が必要です。

以下の表に記載されている一部のルートは、お使いの組織では利用できない場合があります。利用可能な機能を確認するには、機能のサポートを参照してください。

メッセージ

権限ロール許可されるルート
messages.createAdmin, UserPOST /v1/messages
messages.countTokensAdmin, UserPOST /v1/messages/count_tokens

メッセージバッチ

権限ロール許可されるルート
messageBatches.createAdmin, UserPOST /v1/messages/batches
messageBatches.getAdmin, User, ViewerGET /v1/messages/batches/{message_batch_id}
GET /v1/messages/batches/{message_batch_id}/results
messageBatches.listAdmin, User, ViewerGET /v1/messages/batches
messageBatches.deleteAdmin, UserDELETE /v1/messages/batches/{message_batch_id}
messageBatches.cancelAdmin, UserPOST /v1/messages/batches/{message_batch_id}/cancel

roles/claude.viewer はバッチ結果を読み取ることができます。messageBatches.get は、バッチのメタデータの読み取りと結果のダウンロードの両方を許可します。

モデル

権限ロール許可されるルート
models.getAdmin, User, ViewerGET /v1/models/{model_id}
models.listAdmin, User, ViewerGET /v1/models

ファイル

権限ロール許可されるルート
files.createAdmin, UserPOST /v1/files
files.getAdmin, User, ViewerGET /v1/files/{file_id}
GET /v1/files/{file_id}/content
files.listAdmin, User, ViewerGET /v1/files
files.deleteAdmin, UserDELETE /v1/files/{file_id}

roles/claude.viewer はファイルをダウンロードできます。files.get は、ファイルのメタデータの読み取りとコンテンツのダウンロードの両方を許可します。

スキル

権限ロール許可されるルート
skills.createAdmin, UserPOST /v1/skills
skills.getAdmin, User, ViewerGET /v1/skills/{skill_id}
GET /v1/skills/{skill_id}/versions
GET /v1/skills/{skill_id}/versions/{version}
GET /v1/skills/{skill_id}/versions/{version}/content
skills.listAdmin, User, ViewerGET /v1/skills
skills.updateAdmin, UserPOST /v1/skills/{skill_id}/versions
DELETE /v1/skills/{skill_id}/versions/{version}
skills.deleteAdmin, UserDELETE /v1/skills/{skill_id}

スキルバージョンの作成または削除には、skills.create や skills.delete ではなく skills.update が必要です。

エージェント

権限ロール許可されるルート
agents.createAdmin, UserPOST /v1/agents
agents.getAdmin, User, ViewerGET /v1/agents/{agent_id}
GET /v1/agents/{agent_id}/versions
agents.listAdmin, User, ViewerGET /v1/agents
agents.updateAdmin, UserPOST /v1/agents/{agent_id}
agents.archiveAdmin, UserPOST /v1/agents/{agent_id}/archive

エージェントはアーカイブできますが、削除はできません。

セッション

権限ロール許可されるルート
sessions.createAdmin, UserPOST /v1/sessions
sessions.getAdmin, User, ViewerGET /v1/sessions/{session_id}
GET /v1/sessions/{session_id}/events
GET /v1/sessions/{session_id}/events/stream
GET /v1/sessions/{session_id}/resources
GET /v1/sessions/{session_id}/resources/{resource_id}
GET /v1/sessions/{session_id}/threads
GET /v1/sessions/{session_id}/threads/{thread_id}
GET /v1/sessions/{session_id}/threads/{thread_id}/events
GET /v1/sessions/{session_id}/threads/{thread_id}/stream
sessions.listAdmin, User, ViewerGET /v1/sessions
sessions.updateAdmin, UserPOST /v1/sessions/{session_id}
POST /v1/sessions/{session_id}/events
POST /v1/sessions/{session_id}/resources
POST /v1/sessions/{session_id}/resources/{resource_id}
DELETE /v1/sessions/{session_id}/resources/{resource_id}
sessions.archiveAdmin, UserPOST /v1/sessions/{session_id}/archive
POST /v1/sessions/{session_id}/threads/{thread_id}/archive
sessions.deleteAdmin, UserDELETE /v1/sessions/{session_id}

sessions.get は、セッション、そのイベント履歴とイベントストリーム、リソース、スレッドの読み取りを許可します。その結果、roles/claude.viewer はすべてのセッションの完全なイベント履歴を読み取ることができます。

その他のセッション操作には、次の権限が必要です。

  • イベントの送信：sessions.update
  • セッションリソースの追加、変更、削除：sessions.update
  • スレッドのアーカイブ：sessions.archive

環境

権限ロール許可されるルート
environments.createAdmin, UserPOST /v1/environments
environments.getAdmin, User, ViewerGET /v1/environments/{environment_id}
GET /v1/environments/{environment_id}/work
GET /v1/environments/{environment_id}/work/stats
GET /v1/environments/{environment_id}/work/{work_id}
environments.listAdmin, User, ViewerGET /v1/environments
environments.updateAdmin, UserPOST /v1/environments/{environment_id}
environments.archiveAdmin, UserPOST /v1/environments/{environment_id}/archive
environments.deleteAdmin, UserDELETE /v1/environments/{environment_id}
environments.processWorkAdmin, UserGET /v1/environments/{environment_id}/work/poll
POST /v1/environments/{environment_id}/work/{work_id}
POST /v1/environments/{environment_id}/work/{work_id}/ack
POST /v1/environments/{environment_id}/work/{work_id}/heartbeat
POST /v1/environments/{environment_id}/work/{work_id}/stop

roles/claude.user と roles/claude.admin には、セルフホスト型サンドボックスのワーカーが必要とするすべての権限が含まれています。environments.processWork は、次のワーカー操作を承認します。

  • 作業のポーリング
  • 作業項目の確認応答
  • 作業項目のハートビートの送信
  • 作業項目の停止
  • 作業項目の更新

この権限は environments.update とは別のものです。作業キューとその統計情報の読み取りには environments.get のみが必要です。

environments.processWork に加えて、ワーカーがセッションを実行するには他の権限も必要です。たとえば、セッションとそのイベントを読み取るための sessions.get、ツールの結果を送信するための sessions.update、エージェントのスキルをダウンロードするための skills.get などです。

ボールト

Google Cloud はこれらのルートを管理アクティビティ監査ログに記録します。ただし、vaults.verify のルートは例外で、その監査ログの種類はデータアクセスです。

権限ロール許可されるルート
vaults.createAdmin, UserPOST /v1/vaults
vaults.getAdmin, User, ViewerGET /v1/vaults/{vault_id}
GET /v1/vaults/{vault_id}/credentials
GET /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.listAdmin, User, ViewerGET /v1/vaults
vaults.updateAdmin, UserPOST /v1/vaults/{vault_id}
POST /v1/vaults/{vault_id}/credentials
POST /v1/vaults/{vault_id}/credentials/{credential_id}
DELETE /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.archiveAdmin, UserPOST /v1/vaults/{vault_id}/archive
POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive
vaults.deleteAdmin, UserDELETE /v1/vaults/{vault_id}
vaults.verifyAdmin, UserPOST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate

認証情報の操作には、次の権限が必要です。

  • 認証情報の作成、変更、削除：vaults.update
  • 認証情報のアーカイブ：vaults.archive
  • 認証情報の読み取り：vaults.get
  • 保存された MCP OAuth 認証情報の確認：vaults.verify

vaults.get により、roles/claude.viewer はボールトの認証情報を一覧表示できます。Claude Models on Google Cloud (Anthropic managed) は、認証情報のシークレットフィールドを返すことはありません。詳細については、ボールトによる認証を参照してください。

メモリストア

権限ロール許可されるルート
memoryStores.createAdmin, UserPOST /v1/memory_stores
memoryStores.getAdmin, User, ViewerGET /v1/memory_stores/{memory_store_id}
GET /v1/memory_stores/{memory_store_id}/memories
GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}
GET /v1/memory_stores/{memory_store_id}/memory_versions
GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}
memoryStores.listAdmin, User, ViewerGET /v1/memory_stores
memoryStores.updateAdmin, UserPOST /v1/memory_stores/{memory_store_id}
POST /v1/memory_stores/{memory_store_id}/memories
POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}
DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}
POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact
memoryStores.archiveAdmin, UserPOST /v1/memory_stores/{memory_store_id}/archive
memoryStores.deleteAdmin, UserDELETE /v1/memory_stores/{memory_store_id}

メモリストアの操作には、次の権限が必要です。

  • ストア、そのメモリ、またはバージョン履歴の読み取り：memoryStores.get
  • メモリの作成、変更、削除：memoryStores.update
  • メモリバージョンの編集（redact）：memoryStores.update

デプロイメント

権限ロール許可されるルート
deployments.createAdmin, UserPOST /v1/deployments
deployments.getAdmin, User, ViewerGET /v1/deployment_runs
GET /v1/deployment_runs/{deployment_run_id}
GET /v1/deployments/{deployment_id}
deployments.listAdmin, User, ViewerGET /v1/deployments
deployments.updateAdmin, UserPOST /v1/deployments/{deployment_id}
deployments.archiveAdmin, UserPOST /v1/deployments/{deployment_id}/archive
deployments.runAdmin, UserPOST /v1/deployments/{deployment_id}/run
deployments.pauseAdmin, UserPOST /v1/deployments/{deployment_id}/pause
deployments.unpauseAdmin, UserPOST /v1/deployments/{deployment_id}/unpause

デプロイメント実行の読み取りには deployments.get が必要です。

Dreams

権限ロール許可されるルート
dreams.createAdmin, UserPOST /v1/dreams
dreams.getAdmin, User, ViewerGET /v1/dreams/{dream_id}
dreams.listAdmin, User, ViewerGET /v1/dreams
dreams.archiveAdmin, UserPOST /v1/dreams/{dream_id}/archive
dreams.cancelAdmin, UserPOST /v1/dreams/{dream_id}/cancel

Dreams はリサーチプレビュー機能です。アクセスをリクエストするには、Dreams を参照してください。

暗号化キー

Google Cloud はこれらのルートを管理アクティビティ監査ログに記録します。

権限ロール許可されるルート
externalKeys.createAdminPOST /v1/organizations/external_keys
externalKeys.getAdminGET /v1/organizations/external_keys/{external_key_id}
externalKeys.listAdminGET /v1/organizations/external_keys
externalKeys.updateAdminPOST /v1/organizations/external_keys/{external_key_id}
externalKeys.deleteAdminDELETE /v1/organizations/external_keys/{external_key_id}

これらの権限は、組織の暗号化キーの登録を管理します。3 つの事前定義ロールのうち、これらを含むのは roles/claude.admin のみです。

使用状況レポート

権限ロール許可されるルート
usageAnalytics.listAdminGET /v1/organizations/usage_report/messages

3 つの事前定義ロールのうち、usageAnalytics.list を含むのは roles/claude.admin のみです。

関連項目

Was this page helpful?