---
title: Claude Models on Google Cloud (Anthropic managed) の IAM 権限
url: https://platform.claude.com/docs/ja/api/claude-models-on-google-cloud-anthropic-managed-iam-permissions
description: Claude Models on Google Cloud (Anthropic managed) の Google Cloud IAM 権限、事前定義ロール、監査ログの種類を確認します。
---

Claude Models on Google Cloud (Anthropic managed) は、アクセス制御に Google Cloud IAM を使用します。すべての API ルートには、`claude.googleapis.com` サービスの権限が 1 つ必要です。呼び出し元がその権限を持っていない場合、Google Cloud は HTTP 403 エラーを返します。3 つの事前定義ロールが権限をまとめています。セットアップと認証については、[Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/ja/build-with-claude/claude-models-on-google-cloud/anthropic-managed) を参照してください。

## サービスの詳細

次の表は、Claude Models on Google Cloud (Anthropic managed) の Google Cloud サービスについて説明しています。

| 属性               | 値                                                                                                                                                                                              |
| ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **サービス**         | `claude.googleapis.com`                                                                                                                                                                        |
| **権限がチェックされる場所** | ワークスペースまたは Anthropic 組織                                                                                                                                                                        |
| **監査ログの種類**      | データアクセス、管理アクティビティ<br />データアクセスログを有効にするには、[モニタリングとログ記録](https://platform.claude.com/docs/ja/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)を参照してください。 |

ロールは Google Cloud プロジェクトに対して付与します。プロジェクト、組織、ワークスペースの関係については、[ワークスペース](https://platform.claude.com/docs/ja/build-with-claude/claude-models-on-google-cloud/anthropic-managed#workspaces)を参照してください。

このページの権限は、`messages.create` のような `resource.verb` という短縮形で記載されています。

## 事前定義ロール

次の表は、Claude Models on Google Cloud (Anthropic managed) の事前定義ロールの一覧です。

| ロール                   | 表示名           | 権限                                                                                                                                     |
| --------------------- | ------------- | -------------------------------------------------------------------------------------------------------------------------------------- |
| `roles/claude.viewer` | Claude Viewer | ワークスペースリソースに対するすべての `get` および `list` 権限。                                                                                               |
| `roles/claude.user`   | Claude User   | `roles/claude.viewer` のすべての権限に加え、ワークスペースリソースに対するその他すべての権限。<br />例：`messages.create`、`messages.countTokens`、`environments.processWork`。 |
| `roles/claude.admin`  | Claude Admin  | `roles/claude.user` のすべての権限に加え、Anthropic 組織に対してチェックされる権限。<br />例：`externalKeys.*`、`usageAnalytics.list`。                               |

以下の表では、**Admin**、**User**、**Viewer** はこれら 3 つのロールを表します。

## 権限

以下の表には、111 のルートにわたる 68 の権限が記載されています。

`get` および `list` 権限は読み取り専用の権限です。

セクションで特に記載がない限り、各ルートの監査ログの種類はデータアクセスです。

`roles/claude.viewer` はメッセージの送信やトークンのカウントを行えません。メッセージの送信には `messages.create` が必要です。トークンのカウントには `messages.countTokens` が必要です。

以下の表に記載されている一部のルートは、お使いの組織では利用できない場合があります。利用可能な機能を確認するには、[機能のサポート](https://platform.claude.com/docs/ja/build-with-claude/claude-models-on-google-cloud/anthropic-managed#feature-support)を参照してください。

### メッセージ

| 権限                     | ロール         | 許可されるルート                         |
| ---------------------- | ----------- | -------------------------------- |
| `messages.create`      | Admin, User | `POST /v1/messages`              |
| `messages.countTokens` | Admin, User | `POST /v1/messages/count_tokens` |

### メッセージバッチ

| 権限                      | ロール                 | 許可されるルート                                                                                                 |
| ----------------------- | ------------------- | -------------------------------------------------------------------------------------------------------- |
| `messageBatches.create` | Admin, User         | `POST /v1/messages/batches`                                                                              |
| `messageBatches.get`    | Admin, User, Viewer | `GET /v1/messages/batches/{message_batch_id}`<br />`GET /v1/messages/batches/{message_batch_id}/results` |
| `messageBatches.list`   | Admin, User, Viewer | `GET /v1/messages/batches`                                                                               |
| `messageBatches.delete` | Admin, User         | `DELETE /v1/messages/batches/{message_batch_id}`                                                         |
| `messageBatches.cancel` | Admin, User         | `POST /v1/messages/batches/{message_batch_id}/cancel`                                                    |

`roles/claude.viewer` はバッチ結果を読み取ることができます。`messageBatches.get` は、バッチのメタデータの読み取りと結果のダウンロードの両方を許可します。

### モデル

| 権限            | ロール                 | 許可されるルート                    |
| ------------- | ------------------- | --------------------------- |
| `models.get`  | Admin, User, Viewer | `GET /v1/models/{model_id}` |
| `models.list` | Admin, User, Viewer | `GET /v1/models`            |

### ファイル

| 権限             | ロール                 | 許可されるルート                                                         |
| -------------- | ------------------- | ---------------------------------------------------------------- |
| `files.create` | Admin, User         | `POST /v1/files`                                                 |
| `files.get`    | Admin, User, Viewer | `GET /v1/files/{file_id}`<br />`GET /v1/files/{file_id}/content` |
| `files.list`   | Admin, User, Viewer | `GET /v1/files`                                                  |
| `files.delete` | Admin, User         | `DELETE /v1/files/{file_id}`                                     |

`roles/claude.viewer` はファイルをダウンロードできます。`files.get` は、ファイルのメタデータの読み取りとコンテンツのダウンロードの両方を許可します。

### スキル

| 権限              | ロール                 | 許可されるルート                                                                                                                                                                              |
| --------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `skills.create` | Admin, User         | `POST /v1/skills`                                                                                                                                                                     |
| `skills.get`    | Admin, User, Viewer | `GET /v1/skills/{skill_id}`<br />`GET /v1/skills/{skill_id}/versions`<br />`GET /v1/skills/{skill_id}/versions/{version}`<br />`GET /v1/skills/{skill_id}/versions/{version}/content` |
| `skills.list`   | Admin, User, Viewer | `GET /v1/skills`                                                                                                                                                                      |
| `skills.update` | Admin, User         | `POST /v1/skills/{skill_id}/versions`<br />`DELETE /v1/skills/{skill_id}/versions/{version}`                                                                                          |
| `skills.delete` | Admin, User         | `DELETE /v1/skills/{skill_id}`                                                                                                                                                        |

スキルバージョンの作成または削除には、`skills.create` や `skills.delete` ではなく `skills.update` が必要です。

### エージェント

| 権限               | ロール                 | 許可されるルート                                                              |
| ---------------- | ------------------- | --------------------------------------------------------------------- |
| `agents.create`  | Admin, User         | `POST /v1/agents`                                                     |
| `agents.get`     | Admin, User, Viewer | `GET /v1/agents/{agent_id}`<br />`GET /v1/agents/{agent_id}/versions` |
| `agents.list`    | Admin, User, Viewer | `GET /v1/agents`                                                      |
| `agents.update`  | Admin, User         | `POST /v1/agents/{agent_id}`                                          |
| `agents.archive` | Admin, User         | `POST /v1/agents/{agent_id}/archive`                                  |

エージェントはアーカイブできますが、削除はできません。

### セッション

| 権限                 | ロール                 | 許可されるルート                                                                                                                                                                                                                                                                                                                                                                                                                                                                         |
| ------------------ | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `sessions.create`  | Admin, User         | `POST /v1/sessions`                                                                                                                                                                                                                                                                                                                                                                                                                                                              |
| `sessions.get`     | Admin, User, Viewer | `GET /v1/sessions/{session_id}`<br />`GET /v1/sessions/{session_id}/events`<br />`GET /v1/sessions/{session_id}/events/stream`<br />`GET /v1/sessions/{session_id}/resources`<br />`GET /v1/sessions/{session_id}/resources/{resource_id}`<br />`GET /v1/sessions/{session_id}/threads`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}/events`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}/stream` |
| `sessions.list`    | Admin, User, Viewer | `GET /v1/sessions`                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
| `sessions.update`  | Admin, User         | `POST /v1/sessions/{session_id}`<br />`POST /v1/sessions/{session_id}/events`<br />`POST /v1/sessions/{session_id}/resources`<br />`POST /v1/sessions/{session_id}/resources/{resource_id}`<br />`DELETE /v1/sessions/{session_id}/resources/{resource_id}`                                                                                                                                                                                                                      |
| `sessions.archive` | Admin, User         | `POST /v1/sessions/{session_id}/archive`<br />`POST /v1/sessions/{session_id}/threads/{thread_id}/archive`                                                                                                                                                                                                                                                                                                                                                                       |
| `sessions.delete`  | Admin, User         | `DELETE /v1/sessions/{session_id}`                                                                                                                                                                                                                                                                                                                                                                                                                                               |

`sessions.get` は、セッション、そのイベント履歴とイベントストリーム、リソース、スレッドの読み取りを許可します。その結果、`roles/claude.viewer` はすべてのセッションの完全なイベント履歴を読み取ることができます。

その他のセッション操作には、次の権限が必要です。

* イベントの送信：`sessions.update`
* セッションリソースの追加、変更、削除：`sessions.update`
* スレッドのアーカイブ：`sessions.archive`

### 環境

| 権限                         | ロール                 | 許可されるルート                                                                                                                                                                                                                                                                                                                 |
| -------------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `environments.create`      | Admin, User         | `POST /v1/environments`                                                                                                                                                                                                                                                                                                  |
| `environments.get`         | Admin, User, Viewer | `GET /v1/environments/{environment_id}`<br />`GET /v1/environments/{environment_id}/work`<br />`GET /v1/environments/{environment_id}/work/stats`<br />`GET /v1/environments/{environment_id}/work/{work_id}`                                                                                                            |
| `environments.list`        | Admin, User, Viewer | `GET /v1/environments`                                                                                                                                                                                                                                                                                                   |
| `environments.update`      | Admin, User         | `POST /v1/environments/{environment_id}`                                                                                                                                                                                                                                                                                 |
| `environments.archive`     | Admin, User         | `POST /v1/environments/{environment_id}/archive`                                                                                                                                                                                                                                                                         |
| `environments.delete`      | Admin, User         | `DELETE /v1/environments/{environment_id}`                                                                                                                                                                                                                                                                               |
| `environments.processWork` | Admin, User         | `GET /v1/environments/{environment_id}/work/poll`<br />`POST /v1/environments/{environment_id}/work/{work_id}`<br />`POST /v1/environments/{environment_id}/work/{work_id}/ack`<br />`POST /v1/environments/{environment_id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{environment_id}/work/{work_id}/stop` |

`roles/claude.user` と `roles/claude.admin` には、[セルフホスト型サンドボックス](https://platform.claude.com/docs/ja/managed-agents/self-hosted-sandboxes)のワーカーが必要とするすべての権限が含まれています。`environments.processWork` は、次のワーカー操作を承認します。

* 作業のポーリング
* 作業項目の確認応答
* 作業項目のハートビートの送信
* 作業項目の停止
* 作業項目の更新

この権限は `environments.update` とは別のものです。作業キューとその統計情報の読み取りには `environments.get` のみが必要です。

`environments.processWork` に加えて、ワーカーがセッションを実行するには他の権限も必要です。たとえば、セッションとそのイベントを読み取るための `sessions.get`、ツールの結果を送信するための `sessions.update`、エージェントのスキルをダウンロードするための `skills.get` などです。

### ボールト

Google Cloud はこれらのルートを管理アクティビティ監査ログに記録します。ただし、`vaults.verify` のルートは例外で、その監査ログの種類はデータアクセスです。

| 権限               | ロール                 | 許可されるルート                                                                                                                                                                                                 |
| ---------------- | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `vaults.create`  | Admin, User         | `POST /v1/vaults`                                                                                                                                                                                        |
| `vaults.get`     | Admin, User, Viewer | `GET /v1/vaults/{vault_id}`<br />`GET /v1/vaults/{vault_id}/credentials`<br />`GET /v1/vaults/{vault_id}/credentials/{credential_id}`                                                                    |
| `vaults.list`    | Admin, User, Viewer | `GET /v1/vaults`                                                                                                                                                                                         |
| `vaults.update`  | Admin, User         | `POST /v1/vaults/{vault_id}`<br />`POST /v1/vaults/{vault_id}/credentials`<br />`POST /v1/vaults/{vault_id}/credentials/{credential_id}`<br />`DELETE /v1/vaults/{vault_id}/credentials/{credential_id}` |
| `vaults.archive` | Admin, User         | `POST /v1/vaults/{vault_id}/archive`<br />`POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive`                                                                                               |
| `vaults.delete`  | Admin, User         | `DELETE /v1/vaults/{vault_id}`                                                                                                                                                                           |
| `vaults.verify`  | Admin, User         | `POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate`                                                                                                                              |

認証情報の操作には、次の権限が必要です。

* 認証情報の作成、変更、削除：`vaults.update`
* 認証情報のアーカイブ：`vaults.archive`
* 認証情報の読み取り：`vaults.get`
* 保存された MCP OAuth 認証情報の確認：`vaults.verify`

`vaults.get` により、`roles/claude.viewer` はボールトの認証情報を一覧表示できます。Claude Models on Google Cloud (Anthropic managed) は、認証情報のシークレットフィールドを返すことはありません。詳細については、[ボールトによる認証](https://platform.claude.com/docs/ja/managed-agents/vaults)を参照してください。

### メモリストア

| 権限                     | ロール                 | 許可されるルート                                                                                                                                                                                                                                                                                                                                   |
| ---------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `memoryStores.create`  | Admin, User         | `POST /v1/memory_stores`                                                                                                                                                                                                                                                                                                                   |
| `memoryStores.get`     | Admin, User, Viewer | `GET /v1/memory_stores/{memory_store_id}`<br />`GET /v1/memory_stores/{memory_store_id}/memories`<br />`GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`GET /v1/memory_stores/{memory_store_id}/memory_versions`<br />`GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}`                    |
| `memoryStores.list`    | Admin, User, Viewer | `GET /v1/memory_stores`                                                                                                                                                                                                                                                                                                                    |
| `memoryStores.update`  | Admin, User         | `POST /v1/memory_stores/{memory_store_id}`<br />`POST /v1/memory_stores/{memory_store_id}/memories`<br />`POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact` |
| `memoryStores.archive` | Admin, User         | `POST /v1/memory_stores/{memory_store_id}/archive`                                                                                                                                                                                                                                                                                         |
| `memoryStores.delete`  | Admin, User         | `DELETE /v1/memory_stores/{memory_store_id}`                                                                                                                                                                                                                                                                                               |

メモリストアの操作には、次の権限が必要です。

* ストア、そのメモリ、またはバージョン履歴の読み取り：`memoryStores.get`
* メモリの作成、変更、削除：`memoryStores.update`
* メモリバージョンの編集（redact）：`memoryStores.update`

### デプロイメント

| 権限                    | ロール                 | 許可されるルート                                                                                                                |
| --------------------- | ------------------- | ----------------------------------------------------------------------------------------------------------------------- |
| `deployments.create`  | Admin, User         | `POST /v1/deployments`                                                                                                  |
| `deployments.get`     | Admin, User, Viewer | `GET /v1/deployment_runs`<br />`GET /v1/deployment_runs/{deployment_run_id}`<br />`GET /v1/deployments/{deployment_id}` |
| `deployments.list`    | Admin, User, Viewer | `GET /v1/deployments`                                                                                                   |
| `deployments.update`  | Admin, User         | `POST /v1/deployments/{deployment_id}`                                                                                  |
| `deployments.archive` | Admin, User         | `POST /v1/deployments/{deployment_id}/archive`                                                                          |
| `deployments.run`     | Admin, User         | `POST /v1/deployments/{deployment_id}/run`                                                                              |
| `deployments.pause`   | Admin, User         | `POST /v1/deployments/{deployment_id}/pause`                                                                            |
| `deployments.unpause` | Admin, User         | `POST /v1/deployments/{deployment_id}/unpause`                                                                          |

デプロイメント実行の読み取りには `deployments.get` が必要です。

### Dreams

| 権限               | ロール                 | 許可されるルート                             |
| ---------------- | ------------------- | ------------------------------------ |
| `dreams.create`  | Admin, User         | `POST /v1/dreams`                    |
| `dreams.get`     | Admin, User, Viewer | `GET /v1/dreams/{dream_id}`          |
| `dreams.list`    | Admin, User, Viewer | `GET /v1/dreams`                     |
| `dreams.archive` | Admin, User         | `POST /v1/dreams/{dream_id}/archive` |
| `dreams.cancel`  | Admin, User         | `POST /v1/dreams/{dream_id}/cancel`  |

Dreams はリサーチプレビュー機能です。アクセスをリクエストするには、[Dreams](https://platform.claude.com/docs/ja/managed-agents/dreams) を参照してください。

### 暗号化キー

Google Cloud はこれらのルートを管理アクティビティ監査ログに記録します。

| 権限                    | ロール   | 許可されるルート                                                   |
| --------------------- | ----- | ---------------------------------------------------------- |
| `externalKeys.create` | Admin | `POST /v1/organizations/external_keys`                     |
| `externalKeys.get`    | Admin | `GET /v1/organizations/external_keys/{external_key_id}`    |
| `externalKeys.list`   | Admin | `GET /v1/organizations/external_keys`                      |
| `externalKeys.update` | Admin | `POST /v1/organizations/external_keys/{external_key_id}`   |
| `externalKeys.delete` | Admin | `DELETE /v1/organizations/external_keys/{external_key_id}` |

これらの権限は、組織の暗号化キーの登録を管理します。3 つの事前定義ロールのうち、これらを含むのは `roles/claude.admin` のみです。

### 使用状況レポート

| 権限                    | ロール   | 許可されるルート                                      |
| --------------------- | ----- | --------------------------------------------- |
| `usageAnalytics.list` | Admin | `GET /v1/organizations/usage_report/messages` |

3 つの事前定義ロールのうち、`usageAnalytics.list` を含むのは `roles/claude.admin` のみです。

## 関連項目

* [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/ja/build-with-claude/claude-models-on-google-cloud/anthropic-managed)
* [IAM ロール](https://platform.claude.com/docs/ja/build-with-claude/claude-models-on-google-cloud/anthropic-managed#iam-roles)
* [モニタリングとログ記録](https://platform.claude.com/docs/ja/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)