Claude Models on Google Cloud (Anthropic managed)의 IAM 권한

Claude Models on Google Cloud (Anthropic managed)의 Google Cloud IAM 권한, 사전 정의된 역할 및 감사 로그 유형을 확인하세요.

Claude Models on Google Cloud (Anthropic managed)는 액세스 제어에 Google Cloud IAM을 사용합니다. 모든 API 경로에는 claude.googleapis.com 서비스의 권한 하나가 필요합니다. 호출자가 해당 권한을 보유하지 않은 경우 Google Cloud는 HTTP 403 오류를 반환합니다. 세 가지 사전 정의된 역할이 권한을 묶어 제공합니다. 설정 및 인증에 대해서는 Claude Models on Google Cloud (Anthropic managed)를 참조하세요.

서비스 세부 정보

다음 표는 Claude Models on Google Cloud (Anthropic managed)의 Google Cloud 서비스를 설명합니다.

속성	값
서비스	`claude.googleapis.com`
권한이 확인되는 위치	워크스페이스 또는 Anthropic 조직
감사 로그 유형	Data Access, Admin Activity Data Access 로그를 켜려면 모니터링 및 로깅을 참조하세요.

Google Cloud 프로젝트에 역할을 부여하세요. 프로젝트, 조직, 워크스페이스 간의 관계에 대해서는 워크스페이스를 참조하세요.

이 페이지의 권한은 messages.create와 같이 resource.verb 형식의 축약형으로 표기됩니다.

사전 정의된 역할

다음 표는 Claude Models on Google Cloud (Anthropic managed)의 사전 정의된 역할을 나열합니다.

역할	표시 이름	권한
`roles/claude.viewer`	Claude Viewer	워크스페이스 리소스에 대한 모든 `get` 및 `list` 권한.
`roles/claude.user`	Claude User	`roles/claude.viewer`의 모든 권한과 워크스페이스 리소스에 대한 그 밖의 모든 권한. 예: `messages.create`, `messages.countTokens`, `environments.processWork`.
`roles/claude.admin`	Claude Admin	`roles/claude.user`의 모든 권한과 Anthropic 조직에서 확인되는 권한. 예: `externalKeys.*`, `usageAnalytics.list`.

다음 표에서 Admin, User, Viewer는 이 세 가지 역할을 나타냅니다.

권한

다음 표는 111개 경로에 걸친 68개의 권한을 나열합니다.

get 및 list 권한은 읽기 전용 권한입니다.

섹션에서 별도로 명시하지 않는 한, 각 경로의 감사 로그 유형은 Data Access입니다.

roles/claude.viewer는 메시지를 보내거나 토큰을 계산할 수 없습니다. 메시지를 보내려면 messages.create가 필요합니다. 토큰을 계산하려면 messages.countTokens가 필요합니다.

다음 표의 일부 경로는 조직에서 사용하지 못할 수 있습니다. 사용 가능한 기능을 확인하려면 기능 지원을 참조하세요.

Messages

권한	역할	승인되는 경로
`messages.create`	Admin, User	`POST /v1/messages`
`messages.countTokens`	Admin, User	`POST /v1/messages/count_tokens`

Message batches

권한	역할	승인되는 경로
`messageBatches.create`	Admin, User	`POST /v1/messages/batches`
`messageBatches.get`	Admin, User, Viewer	`GET /v1/messages/batches/{message_batch_id}` `GET /v1/messages/batches/{message_batch_id}/results`
`messageBatches.list`	Admin, User, Viewer	`GET /v1/messages/batches`
`messageBatches.delete`	Admin, User	`DELETE /v1/messages/batches/{message_batch_id}`
`messageBatches.cancel`	Admin, User	`POST /v1/messages/batches/{message_batch_id}/cancel`

roles/claude.viewer는 배치 결과를 읽을 수 있습니다. messageBatches.get은 배치의 메타데이터 읽기와 결과 다운로드를 모두 승인합니다.

Models

권한	역할	승인되는 경로
`models.get`	Admin, User, Viewer	`GET /v1/models/{model_id}`
`models.list`	Admin, User, Viewer	`GET /v1/models`

Files

권한	역할	승인되는 경로
`files.create`	Admin, User	`POST /v1/files`
`files.get`	Admin, User, Viewer	`GET /v1/files/{file_id}` `GET /v1/files/{file_id}/content`
`files.list`	Admin, User, Viewer	`GET /v1/files`
`files.delete`	Admin, User	`DELETE /v1/files/{file_id}`

roles/claude.viewer는 파일을 다운로드할 수 있습니다. files.get은 파일의 메타데이터 읽기와 콘텐츠 다운로드를 모두 승인합니다.

Skills

권한	역할	승인되는 경로
`skills.create`	Admin, User	`POST /v1/skills`
`skills.get`	Admin, User, Viewer	`GET /v1/skills/{skill_id}` `GET /v1/skills/{skill_id}/versions` `GET /v1/skills/{skill_id}/versions/{version}` `GET /v1/skills/{skill_id}/versions/{version}/content`
`skills.list`	Admin, User, Viewer	`GET /v1/skills`
`skills.update`	Admin, User	`POST /v1/skills/{skill_id}/versions` `DELETE /v1/skills/{skill_id}/versions/{version}`
`skills.delete`	Admin, User	`DELETE /v1/skills/{skill_id}`

스킬 버전을 생성하거나 삭제하려면 skills.create나 skills.delete가 아닌 skills.update가 필요합니다.

Agents

권한	역할	승인되는 경로
`agents.create`	Admin, User	`POST /v1/agents`
`agents.get`	Admin, User, Viewer	`GET /v1/agents/{agent_id}` `GET /v1/agents/{agent_id}/versions`
`agents.list`	Admin, User, Viewer	`GET /v1/agents`
`agents.update`	Admin, User	`POST /v1/agents/{agent_id}`
`agents.archive`	Admin, User	`POST /v1/agents/{agent_id}/archive`

에이전트는 보관할 수 있지만 삭제할 수는 없습니다.

Sessions

권한	역할	승인되는 경로
`sessions.create`	Admin, User	`POST /v1/sessions`
`sessions.get`	Admin, User, Viewer	`GET /v1/sessions/{session_id}` `GET /v1/sessions/{session_id}/events` `GET /v1/sessions/{session_id}/events/stream` `GET /v1/sessions/{session_id}/resources` `GET /v1/sessions/{session_id}/resources/{resource_id}` `GET /v1/sessions/{session_id}/threads` `GET /v1/sessions/{session_id}/threads/{thread_id}` `GET /v1/sessions/{session_id}/threads/{thread_id}/events` `GET /v1/sessions/{session_id}/threads/{thread_id}/stream`
`sessions.list`	Admin, User, Viewer	`GET /v1/sessions`
`sessions.update`	Admin, User	`POST /v1/sessions/{session_id}` `POST /v1/sessions/{session_id}/events` `POST /v1/sessions/{session_id}/resources` `POST /v1/sessions/{session_id}/resources/{resource_id}` `DELETE /v1/sessions/{session_id}/resources/{resource_id}`
`sessions.archive`	Admin, User	`POST /v1/sessions/{session_id}/archive` `POST /v1/sessions/{session_id}/threads/{thread_id}/archive`
`sessions.delete`	Admin, User	`DELETE /v1/sessions/{session_id}`

sessions.get은 세션, 세션의 이벤트 기록 및 이벤트 스트림, 리소스, 스레드 읽기를 승인합니다. 따라서 roles/claude.viewer는 모든 세션의 전체 이벤트 기록을 읽을 수 있습니다.

그 밖의 세션 작업에는 다음 권한이 필요합니다.

이벤트 전송: sessions.update
세션 리소스 추가, 변경 또는 제거: sessions.update
스레드 보관: sessions.archive

Environments

권한	역할	승인되는 경로
`environments.create`	Admin, User	`POST /v1/environments`
`environments.get`	Admin, User, Viewer	`GET /v1/environments/{environment_id}` `GET /v1/environments/{environment_id}/work` `GET /v1/environments/{environment_id}/work/stats` `GET /v1/environments/{environment_id}/work/{work_id}`
`environments.list`	Admin, User, Viewer	`GET /v1/environments`
`environments.update`	Admin, User	`POST /v1/environments/{environment_id}`
`environments.archive`	Admin, User	`POST /v1/environments/{environment_id}/archive`
`environments.delete`	Admin, User	`DELETE /v1/environments/{environment_id}`
`environments.processWork`	Admin, User	`GET /v1/environments/{environment_id}/work/poll` `POST /v1/environments/{environment_id}/work/{work_id}` `POST /v1/environments/{environment_id}/work/{work_id}/ack` `POST /v1/environments/{environment_id}/work/{work_id}/heartbeat` `POST /v1/environments/{environment_id}/work/{work_id}/stop`

roles/claude.user 및 roles/claude.admin에는 자체 호스팅 샌드박스 워커에 필요한 모든 권한이 포함되어 있습니다. environments.processWork는 다음 워커 작업을 승인합니다.

작업 폴링
작업 항목 확인(acknowledge)
작업 항목에 대한 하트비트 전송
작업 항목 중지
작업 항목 업데이트

이 권한은 environments.update와 별개입니다. 작업 대기열과 그 통계를 읽는 데는 environments.get만 필요합니다.

environments.processWork 외에도 워커가 세션을 실행하려면 다른 권한이 필요합니다. 예를 들어 세션과 해당 이벤트를 읽기 위한 sessions.get, 도구 결과를 전송하기 위한 sessions.update, 에이전트의 스킬을 다운로드하기 위한 skills.get 등이 있습니다.

Vaults

Google Cloud는 이 경로들을 Admin Activity 감사 로그에 기록합니다. 단, vaults.verify의 경로는 예외이며 감사 로그 유형이 Data Access입니다.

권한	역할	승인되는 경로
`vaults.create`	Admin, User	`POST /v1/vaults`
`vaults.get`	Admin, User, Viewer	`GET /v1/vaults/{vault_id}` `GET /v1/vaults/{vault_id}/credentials` `GET /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.list`	Admin, User, Viewer	`GET /v1/vaults`
`vaults.update`	Admin, User	`POST /v1/vaults/{vault_id}` `POST /v1/vaults/{vault_id}/credentials` `POST /v1/vaults/{vault_id}/credentials/{credential_id}` `DELETE /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.archive`	Admin, User	`POST /v1/vaults/{vault_id}/archive` `POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive`
`vaults.delete`	Admin, User	`DELETE /v1/vaults/{vault_id}`
`vaults.verify`	Admin, User	`POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate`

자격 증명 작업에는 다음 권한이 필요합니다.

자격 증명 생성, 변경 또는 삭제: vaults.update
자격 증명 보관: vaults.archive
자격 증명 읽기: vaults.get
저장된 MCP OAuth 자격 증명 확인: vaults.verify

vaults.get을 통해 roles/claude.viewer는 볼트의 자격 증명 목록을 조회할 수 있습니다. Claude Models on Google Cloud (Anthropic managed)는 자격 증명의 비밀 필드를 절대 반환하지 않습니다. 자세한 내용은 볼트로 인증하기를 참조하세요.

Memory stores

권한	역할	승인되는 경로
`memoryStores.create`	Admin, User	`POST /v1/memory_stores`
`memoryStores.get`	Admin, User, Viewer	`GET /v1/memory_stores/{memory_store_id}` `GET /v1/memory_stores/{memory_store_id}/memories` `GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `GET /v1/memory_stores/{memory_store_id}/memory_versions` `GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}`
`memoryStores.list`	Admin, User, Viewer	`GET /v1/memory_stores`
`memoryStores.update`	Admin, User	`POST /v1/memory_stores/{memory_store_id}` `POST /v1/memory_stores/{memory_store_id}/memories` `POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact`
`memoryStores.archive`	Admin, User	`POST /v1/memory_stores/{memory_store_id}/archive`
`memoryStores.delete`	Admin, User	`DELETE /v1/memory_stores/{memory_store_id}`

메모리 스토어 작업에는 다음 권한이 필요합니다.

스토어, 메모리 또는 버전 기록 읽기: memoryStores.get
메모리 생성, 변경 또는 삭제: memoryStores.update
메모리 버전 편집(redact): memoryStores.update

Deployments

권한	역할	승인되는 경로
`deployments.create`	Admin, User	`POST /v1/deployments`
`deployments.get`	Admin, User, Viewer	`GET /v1/deployment_runs` `GET /v1/deployment_runs/{deployment_run_id}` `GET /v1/deployments/{deployment_id}`
`deployments.list`	Admin, User, Viewer	`GET /v1/deployments`
`deployments.update`	Admin, User	`POST /v1/deployments/{deployment_id}`
`deployments.archive`	Admin, User	`POST /v1/deployments/{deployment_id}/archive`
`deployments.run`	Admin, User	`POST /v1/deployments/{deployment_id}/run`
`deployments.pause`	Admin, User	`POST /v1/deployments/{deployment_id}/pause`
`deployments.unpause`	Admin, User	`POST /v1/deployments/{deployment_id}/unpause`

배포 실행을 읽으려면 deployments.get이 필요합니다.

Dreams

권한	역할	승인되는 경로
`dreams.create`	Admin, User	`POST /v1/dreams`
`dreams.get`	Admin, User, Viewer	`GET /v1/dreams/{dream_id}`
`dreams.list`	Admin, User, Viewer	`GET /v1/dreams`
`dreams.archive`	Admin, User	`POST /v1/dreams/{dream_id}/archive`
`dreams.cancel`	Admin, User	`POST /v1/dreams/{dream_id}/cancel`

Dreams는 연구 프리뷰 기능입니다. 액세스를 요청하려면 Dreams를 참조하세요.

암호화 키

Google Cloud는 이 경로들을 Admin Activity 감사 로그에 기록합니다.

권한	역할	승인되는 경로
`externalKeys.create`	Admin	`POST /v1/organizations/external_keys`
`externalKeys.get`	Admin	`GET /v1/organizations/external_keys/{external_key_id}`
`externalKeys.list`	Admin	`GET /v1/organizations/external_keys`
`externalKeys.update`	Admin	`POST /v1/organizations/external_keys/{external_key_id}`
`externalKeys.delete`	Admin	`DELETE /v1/organizations/external_keys/{external_key_id}`

이 권한들은 조직의 암호화 키 등록을 관리합니다. 세 가지 사전 정의된 역할 중 roles/claude.admin만 이 권한들을 포함합니다.

사용량 보고서

권한	역할	승인되는 경로
`usageAnalytics.list`	Admin	`GET /v1/organizations/usage_report/messages`

세 가지 사전 정의된 역할 중 roles/claude.admin만 usageAnalytics.list를 포함합니다.

서비스 세부 정보

사전 정의된 역할

권한

Messages

Message batches

Models

Files

Skills

Agents

Sessions

Environments

Vaults

Memory stores

Deployments

Dreams

암호화 키

사용량 보고서

참고 항목