Referência da APISuporte e configuração

Permissões do IAM para Claude Models on Google Cloud (Anthropic managed)

Consulte as permissões do IAM do Google Cloud, os papéis predefinidos e os tipos de log de auditoria para Claude Models on Google Cloud (Anthropic managed).

Claude Models on Google Cloud (Anthropic managed) usa o IAM do Google Cloud para controle de acesso. Cada rota da API precisa de uma permissão do serviço claude.googleapis.com. Se o chamador não tiver essa permissão, o Google Cloud retorna um erro HTTP 403. Três "predefined roles" (papéis predefinidos) agrupam as permissões. Para configuração e autenticação, consulte Claude Models on Google Cloud (Anthropic managed).

Detalhes do serviço

A tabela a seguir descreve o serviço do Google Cloud para Claude Models on Google Cloud (Anthropic managed).

Atributo	Valor
Serviço	`claude.googleapis.com`
Onde as permissões são verificadas	Um workspace ou a organização da Anthropic
Tipos de log de auditoria	Data Access (acesso a dados), Admin Activity (atividade de administrador) Para ativar os logs de Data Access, consulte Monitoramento e logging.

Conceda papéis no projeto do Google Cloud. Para entender como projetos, organizações e workspaces se relacionam, consulte Workspaces.

As permissões nesta página estão na forma abreviada resource.verb, como messages.create.

Papéis predefinidos

A tabela a seguir lista os papéis predefinidos para Claude Models on Google Cloud (Anthropic managed).

Papel	Nome de exibição	Permissões
`roles/claude.viewer`	Claude Viewer	Todas as permissões `get` e `list` em recursos do workspace.
`roles/claude.user`	Claude User	Tudo em `roles/claude.viewer`, além de todas as outras permissões em recursos do workspace. Por exemplo, `messages.create`, `messages.countTokens` e `environments.processWork`.
`roles/claude.admin`	Claude Admin	Tudo em `roles/claude.user`, além das permissões verificadas na sua organização da Anthropic. Por exemplo, `externalKeys.*` e `usageAnalytics.list`.

Nas tabelas a seguir, Admin, User e Viewer representam esses três papéis.

Permissões

As tabelas a seguir listam 68 permissões em 111 rotas.

As permissões get e list são as somente leitura.

Salvo indicação em contrário em uma seção, o tipo de log de auditoria de cada rota é Data Access.

roles/claude.viewer não pode enviar mensagens nem contar tokens. Enviar uma mensagem requer messages.create. Contar tokens requer messages.countTokens.

Algumas rotas nas tabelas a seguir podem não estar disponíveis para sua organização. Para verificar quais recursos estão disponíveis, consulte Suporte a recursos.

Mensagens

Permissão	Papéis	Rotas autorizadas
`messages.create`	Admin, User	`POST /v1/messages`
`messages.countTokens`	Admin, User	`POST /v1/messages/count_tokens`

Lotes de mensagens

Permissão	Papéis	Rotas autorizadas
`messageBatches.create`	Admin, User	`POST /v1/messages/batches`
`messageBatches.get`	Admin, User, Viewer	`GET /v1/messages/batches/{message_batch_id}` `GET /v1/messages/batches/{message_batch_id}/results`
`messageBatches.list`	Admin, User, Viewer	`GET /v1/messages/batches`
`messageBatches.delete`	Admin, User	`DELETE /v1/messages/batches/{message_batch_id}`
`messageBatches.cancel`	Admin, User	`POST /v1/messages/batches/{message_batch_id}/cancel`

roles/claude.viewer pode ler os resultados de lotes. messageBatches.get autoriza tanto a leitura dos metadados de um lote quanto o download de seus resultados.

Modelos

Permissão	Papéis	Rotas autorizadas
`models.get`	Admin, User, Viewer	`GET /v1/models/{model_id}`
`models.list`	Admin, User, Viewer	`GET /v1/models`

Arquivos

Permissão	Papéis	Rotas autorizadas
`files.create`	Admin, User	`POST /v1/files`
`files.get`	Admin, User, Viewer	`GET /v1/files/{file_id}` `GET /v1/files/{file_id}/content`
`files.list`	Admin, User, Viewer	`GET /v1/files`
`files.delete`	Admin, User	`DELETE /v1/files/{file_id}`

roles/claude.viewer pode baixar arquivos. files.get autoriza tanto a leitura dos metadados de um arquivo quanto o download de seu conteúdo.

Skills

Permissão	Papéis	Rotas autorizadas
`skills.create`	Admin, User	`POST /v1/skills`
`skills.get`	Admin, User, Viewer	`GET /v1/skills/{skill_id}` `GET /v1/skills/{skill_id}/versions` `GET /v1/skills/{skill_id}/versions/{version}` `GET /v1/skills/{skill_id}/versions/{version}/content`
`skills.list`	Admin, User, Viewer	`GET /v1/skills`
`skills.update`	Admin, User	`POST /v1/skills/{skill_id}/versions` `DELETE /v1/skills/{skill_id}/versions/{version}`
`skills.delete`	Admin, User	`DELETE /v1/skills/{skill_id}`

Criar ou excluir uma versão de skill requer skills.update, e não skills.create ou skills.delete.

Agentes

Permissão	Papéis	Rotas autorizadas
`agents.create`	Admin, User	`POST /v1/agents`
`agents.get`	Admin, User, Viewer	`GET /v1/agents/{agent_id}` `GET /v1/agents/{agent_id}/versions`
`agents.list`	Admin, User, Viewer	`GET /v1/agents`
`agents.update`	Admin, User	`POST /v1/agents/{agent_id}`
`agents.archive`	Admin, User	`POST /v1/agents/{agent_id}/archive`

Você pode arquivar um agente, mas não excluí-lo.

Sessões

Permissão	Papéis	Rotas autorizadas
`sessions.create`	Admin, User	`POST /v1/sessions`
`sessions.get`	Admin, User, Viewer	`GET /v1/sessions/{session_id}` `GET /v1/sessions/{session_id}/events` `GET /v1/sessions/{session_id}/events/stream` `GET /v1/sessions/{session_id}/resources` `GET /v1/sessions/{session_id}/resources/{resource_id}` `GET /v1/sessions/{session_id}/threads` `GET /v1/sessions/{session_id}/threads/{thread_id}` `GET /v1/sessions/{session_id}/threads/{thread_id}/events` `GET /v1/sessions/{session_id}/threads/{thread_id}/stream`
`sessions.list`	Admin, User, Viewer	`GET /v1/sessions`
`sessions.update`	Admin, User	`POST /v1/sessions/{session_id}` `POST /v1/sessions/{session_id}/events` `POST /v1/sessions/{session_id}/resources` `POST /v1/sessions/{session_id}/resources/{resource_id}` `DELETE /v1/sessions/{session_id}/resources/{resource_id}`
`sessions.archive`	Admin, User	`POST /v1/sessions/{session_id}/archive` `POST /v1/sessions/{session_id}/threads/{thread_id}/archive`
`sessions.delete`	Admin, User	`DELETE /v1/sessions/{session_id}`

sessions.get autoriza a leitura da sessão, de seu histórico de eventos e stream de eventos, de seus recursos e de suas threads. Como resultado, roles/claude.viewer pode ler o histórico completo de eventos de todas as sessões.

Outras operações de sessão requerem as seguintes permissões:

Enviar eventos: sessions.update
Adicionar, alterar ou remover recursos da sessão: sessions.update
Arquivar uma thread: sessions.archive

Ambientes

Permissão	Papéis	Rotas autorizadas
`environments.create`	Admin, User	`POST /v1/environments`
`environments.get`	Admin, User, Viewer	`GET /v1/environments/{environment_id}` `GET /v1/environments/{environment_id}/work` `GET /v1/environments/{environment_id}/work/stats` `GET /v1/environments/{environment_id}/work/{work_id}`
`environments.list`	Admin, User, Viewer	`GET /v1/environments`
`environments.update`	Admin, User	`POST /v1/environments/{environment_id}`
`environments.archive`	Admin, User	`POST /v1/environments/{environment_id}/archive`
`environments.delete`	Admin, User	`DELETE /v1/environments/{environment_id}`
`environments.processWork`	Admin, User	`GET /v1/environments/{environment_id}/work/poll` `POST /v1/environments/{environment_id}/work/{work_id}` `POST /v1/environments/{environment_id}/work/{work_id}/ack` `POST /v1/environments/{environment_id}/work/{work_id}/heartbeat` `POST /v1/environments/{environment_id}/work/{work_id}/stop`

roles/claude.user e roles/claude.admin incluem todas as permissões de que um worker de sandbox auto-hospedado precisa. environments.processWork autoriza estas ações do worker:

Consultar (polling) trabalho disponível
Confirmar itens de trabalho
Enviar heartbeats para itens de trabalho
Interromper itens de trabalho
Atualizar itens de trabalho

Essa permissão é separada de environments.update. Ler a fila de trabalho e suas estatísticas requer apenas environments.get.

Além de environments.processWork, um worker precisa de outras permissões para executar uma sessão, como sessions.get para ler a sessão e seus eventos, sessions.update para enviar resultados de ferramentas e skills.get para baixar as skills do agente.

Vaults

O Google Cloud registra essas rotas nos logs de auditoria de Admin Activity, exceto a rota de vaults.verify, cujo tipo de log de auditoria é Data Access.

Permissão	Papéis	Rotas autorizadas
`vaults.create`	Admin, User	`POST /v1/vaults`
`vaults.get`	Admin, User, Viewer	`GET /v1/vaults/{vault_id}` `GET /v1/vaults/{vault_id}/credentials` `GET /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.list`	Admin, User, Viewer	`GET /v1/vaults`
`vaults.update`	Admin, User	`POST /v1/vaults/{vault_id}` `POST /v1/vaults/{vault_id}/credentials` `POST /v1/vaults/{vault_id}/credentials/{credential_id}` `DELETE /v1/vaults/{vault_id}/credentials/{credential_id}`
`vaults.archive`	Admin, User	`POST /v1/vaults/{vault_id}/archive` `POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive`
`vaults.delete`	Admin, User	`DELETE /v1/vaults/{vault_id}`
`vaults.verify`	Admin, User	`POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate`

Operações de credenciais requerem as seguintes permissões:

Criar, alterar ou excluir uma credencial: vaults.update
Arquivar uma credencial: vaults.archive
Ler uma credencial: vaults.get
Verificar uma credencial OAuth de MCP armazenada: vaults.verify

Com vaults.get, roles/claude.viewer pode listar as credenciais de um vault. Claude Models on Google Cloud (Anthropic managed) nunca retorna os campos secretos de uma credencial. Para saber mais, consulte Autenticar com vaults.

Memory stores

Permissão	Papéis	Rotas autorizadas
`memoryStores.create`	Admin, User	`POST /v1/memory_stores`
`memoryStores.get`	Admin, User, Viewer	`GET /v1/memory_stores/{memory_store_id}` `GET /v1/memory_stores/{memory_store_id}/memories` `GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `GET /v1/memory_stores/{memory_store_id}/memory_versions` `GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}`
`memoryStores.list`	Admin, User, Viewer	`GET /v1/memory_stores`
`memoryStores.update`	Admin, User	`POST /v1/memory_stores/{memory_store_id}` `POST /v1/memory_stores/{memory_store_id}/memories` `POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}` `POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact`
`memoryStores.archive`	Admin, User	`POST /v1/memory_stores/{memory_store_id}/archive`
`memoryStores.delete`	Admin, User	`DELETE /v1/memory_stores/{memory_store_id}`

Operações de memory store requerem as seguintes permissões:

Ler o store, suas memórias ou seu histórico de versões: memoryStores.get
Criar, alterar ou excluir uma memória: memoryStores.update
Redigir (redact) uma versão de memória: memoryStores.update

Deployments

Permissão	Papéis	Rotas autorizadas
`deployments.create`	Admin, User	`POST /v1/deployments`
`deployments.get`	Admin, User, Viewer	`GET /v1/deployment_runs` `GET /v1/deployment_runs/{deployment_run_id}` `GET /v1/deployments/{deployment_id}`
`deployments.list`	Admin, User, Viewer	`GET /v1/deployments`
`deployments.update`	Admin, User	`POST /v1/deployments/{deployment_id}`
`deployments.archive`	Admin, User	`POST /v1/deployments/{deployment_id}/archive`
`deployments.run`	Admin, User	`POST /v1/deployments/{deployment_id}/run`
`deployments.pause`	Admin, User	`POST /v1/deployments/{deployment_id}/pause`
`deployments.unpause`	Admin, User	`POST /v1/deployments/{deployment_id}/unpause`

Ler execuções de deployment requer deployments.get.

Dreams

Permissão	Papéis	Rotas autorizadas
`dreams.create`	Admin, User	`POST /v1/dreams`
`dreams.get`	Admin, User, Viewer	`GET /v1/dreams/{dream_id}`
`dreams.list`	Admin, User, Viewer	`GET /v1/dreams`
`dreams.archive`	Admin, User	`POST /v1/dreams/{dream_id}/archive`
`dreams.cancel`	Admin, User	`POST /v1/dreams/{dream_id}/cancel`

Dreams é um recurso em research preview (prévia de pesquisa). Para solicitar acesso, consulte Dreams.

Chaves de criptografia

O Google Cloud registra essas rotas nos logs de auditoria de Admin Activity.

Permissão	Papéis	Rotas autorizadas
`externalKeys.create`	Admin	`POST /v1/organizations/external_keys`
`externalKeys.get`	Admin	`GET /v1/organizations/external_keys/{external_key_id}`
`externalKeys.list`	Admin	`GET /v1/organizations/external_keys`
`externalKeys.update`	Admin	`POST /v1/organizations/external_keys/{external_key_id}`
`externalKeys.delete`	Admin	`DELETE /v1/organizations/external_keys/{external_key_id}`

Essas permissões gerenciam os registros de chaves de criptografia da sua organização. Dos três papéis predefinidos, apenas roles/claude.admin as inclui.

Relatórios de uso

Permissão	Papéis	Rotas autorizadas
`usageAnalytics.list`	Admin	`GET /v1/organizations/usage_report/messages`

Dos três papéis predefinidos, apenas roles/claude.admin inclui usageAnalytics.list.

Detalhes do serviço

Papéis predefinidos

Permissões

Mensagens

Lotes de mensagens

Modelos

Arquivos

Skills

Agentes

Sessões

Ambientes

Vaults

Memory stores

Deployments

Dreams

Chaves de criptografia

Relatórios de uso

Veja também