--- title: Permissões do IAM para Claude Models on Google Cloud (Anthropic managed) url: https://platform.claude.com/docs/pt-BR/api/claude-models-on-google-cloud-anthropic-managed-iam-permissions description: Consulte as permissões do IAM do Google Cloud, os papéis predefinidos e os tipos de log de auditoria para Claude Models on Google Cloud (Anthropic managed). --- Claude Models on Google Cloud (Anthropic managed) usa o IAM do Google Cloud para controle de acesso. Cada rota da API precisa de uma permissão do serviço `claude.googleapis.com`. Se o chamador não tiver essa permissão, o Google Cloud retorna um erro HTTP 403. Três "predefined roles" (papéis predefinidos) agrupam as permissões. Para configuração e autenticação, consulte [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-models-on-google-cloud/anthropic-managed). ## Detalhes do serviço A tabela a seguir descreve o serviço do Google Cloud para Claude Models on Google Cloud (Anthropic managed). | Atributo | Valor | | -------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Serviço** | `claude.googleapis.com` | | **Onde as permissões são verificadas** | Um workspace ou a organização da Anthropic | | **Tipos de log de auditoria** | Data Access (acesso a dados), Admin Activity (atividade de administrador)
Para ativar os logs de Data Access, consulte [Monitoramento e logging](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging). | Conceda papéis no projeto do Google Cloud. Para entender como projetos, organizações e workspaces se relacionam, consulte [Workspaces](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-models-on-google-cloud/anthropic-managed#workspaces). As permissões nesta página estão na forma abreviada `resource.verb`, como `messages.create`. ## Papéis predefinidos A tabela a seguir lista os papéis predefinidos para Claude Models on Google Cloud (Anthropic managed). | Papel | Nome de exibição | Permissões | | --------------------- | ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `roles/claude.viewer` | Claude Viewer | Todas as permissões `get` e `list` em recursos do workspace. | | `roles/claude.user` | Claude User | Tudo em `roles/claude.viewer`, além de todas as outras permissões em recursos do workspace.
Por exemplo, `messages.create`, `messages.countTokens` e `environments.processWork`. | | `roles/claude.admin` | Claude Admin | Tudo em `roles/claude.user`, além das permissões verificadas na sua organização da Anthropic.
Por exemplo, `externalKeys.*` e `usageAnalytics.list`. | Nas tabelas a seguir, **Admin**, **User** e **Viewer** representam esses três papéis. ## Permissões As tabelas a seguir listam 68 permissões em 111 rotas. As permissões `get` e `list` são as somente leitura. Salvo indicação em contrário em uma seção, o tipo de log de auditoria de cada rota é Data Access. `roles/claude.viewer` não pode enviar mensagens nem contar tokens. Enviar uma mensagem requer `messages.create`. Contar tokens requer `messages.countTokens`. Algumas rotas nas tabelas a seguir podem não estar disponíveis para sua organização. Para verificar quais recursos estão disponíveis, consulte [Suporte a recursos](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-models-on-google-cloud/anthropic-managed#feature-support). ### Mensagens | Permissão | Papéis | Rotas autorizadas | | ---------------------- | ----------- | -------------------------------- | | `messages.create` | Admin, User | `POST /v1/messages` | | `messages.countTokens` | Admin, User | `POST /v1/messages/count_tokens` | ### Lotes de mensagens | Permissão | Papéis | Rotas autorizadas | | ----------------------- | ------------------- | -------------------------------------------------------------------------------------------------------- | | `messageBatches.create` | Admin, User | `POST /v1/messages/batches` | | `messageBatches.get` | Admin, User, Viewer | `GET /v1/messages/batches/{message_batch_id}`
`GET /v1/messages/batches/{message_batch_id}/results` | | `messageBatches.list` | Admin, User, Viewer | `GET /v1/messages/batches` | | `messageBatches.delete` | Admin, User | `DELETE /v1/messages/batches/{message_batch_id}` | | `messageBatches.cancel` | Admin, User | `POST /v1/messages/batches/{message_batch_id}/cancel` | `roles/claude.viewer` pode ler os resultados de lotes. `messageBatches.get` autoriza tanto a leitura dos metadados de um lote quanto o download de seus resultados. ### Modelos | Permissão | Papéis | Rotas autorizadas | | ------------- | ------------------- | --------------------------- | | `models.get` | Admin, User, Viewer | `GET /v1/models/{model_id}` | | `models.list` | Admin, User, Viewer | `GET /v1/models` | ### Arquivos | Permissão | Papéis | Rotas autorizadas | | -------------- | ------------------- | ---------------------------------------------------------------- | | `files.create` | Admin, User | `POST /v1/files` | | `files.get` | Admin, User, Viewer | `GET /v1/files/{file_id}`
`GET /v1/files/{file_id}/content` | | `files.list` | Admin, User, Viewer | `GET /v1/files` | | `files.delete` | Admin, User | `DELETE /v1/files/{file_id}` | `roles/claude.viewer` pode baixar arquivos. `files.get` autoriza tanto a leitura dos metadados de um arquivo quanto o download de seu conteúdo. ### Skills | Permissão | Papéis | Rotas autorizadas | | --------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `skills.create` | Admin, User | `POST /v1/skills` | | `skills.get` | Admin, User, Viewer | `GET /v1/skills/{skill_id}`
`GET /v1/skills/{skill_id}/versions`
`GET /v1/skills/{skill_id}/versions/{version}`
`GET /v1/skills/{skill_id}/versions/{version}/content` | | `skills.list` | Admin, User, Viewer | `GET /v1/skills` | | `skills.update` | Admin, User | `POST /v1/skills/{skill_id}/versions`
`DELETE /v1/skills/{skill_id}/versions/{version}` | | `skills.delete` | Admin, User | `DELETE /v1/skills/{skill_id}` | Criar ou excluir uma versão de skill requer `skills.update`, e não `skills.create` ou `skills.delete`. ### Agentes | Permissão | Papéis | Rotas autorizadas | | ---------------- | ------------------- | --------------------------------------------------------------------- | | `agents.create` | Admin, User | `POST /v1/agents` | | `agents.get` | Admin, User, Viewer | `GET /v1/agents/{agent_id}`
`GET /v1/agents/{agent_id}/versions` | | `agents.list` | Admin, User, Viewer | `GET /v1/agents` | | `agents.update` | Admin, User | `POST /v1/agents/{agent_id}` | | `agents.archive` | Admin, User | `POST /v1/agents/{agent_id}/archive` | Você pode arquivar um agente, mas não excluí-lo. ### Sessões | Permissão | Papéis | Rotas autorizadas | | ------------------ | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `sessions.create` | Admin, User | `POST /v1/sessions` | | `sessions.get` | Admin, User, Viewer | `GET /v1/sessions/{session_id}`
`GET /v1/sessions/{session_id}/events`
`GET /v1/sessions/{session_id}/events/stream`
`GET /v1/sessions/{session_id}/resources`
`GET /v1/sessions/{session_id}/resources/{resource_id}`
`GET /v1/sessions/{session_id}/threads`
`GET /v1/sessions/{session_id}/threads/{thread_id}`
`GET /v1/sessions/{session_id}/threads/{thread_id}/events`
`GET /v1/sessions/{session_id}/threads/{thread_id}/stream` | | `sessions.list` | Admin, User, Viewer | `GET /v1/sessions` | | `sessions.update` | Admin, User | `POST /v1/sessions/{session_id}`
`POST /v1/sessions/{session_id}/events`
`POST /v1/sessions/{session_id}/resources`
`POST /v1/sessions/{session_id}/resources/{resource_id}`
`DELETE /v1/sessions/{session_id}/resources/{resource_id}` | | `sessions.archive` | Admin, User | `POST /v1/sessions/{session_id}/archive`
`POST /v1/sessions/{session_id}/threads/{thread_id}/archive` | | `sessions.delete` | Admin, User | `DELETE /v1/sessions/{session_id}` | `sessions.get` autoriza a leitura da sessão, de seu histórico de eventos e stream de eventos, de seus recursos e de suas threads. Como resultado, `roles/claude.viewer` pode ler o histórico completo de eventos de todas as sessões. Outras operações de sessão requerem as seguintes permissões: * Enviar eventos: `sessions.update` * Adicionar, alterar ou remover recursos da sessão: `sessions.update` * Arquivar uma thread: `sessions.archive` ### Ambientes | Permissão | Papéis | Rotas autorizadas | | -------------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `environments.create` | Admin, User | `POST /v1/environments` | | `environments.get` | Admin, User, Viewer | `GET /v1/environments/{environment_id}`
`GET /v1/environments/{environment_id}/work`
`GET /v1/environments/{environment_id}/work/stats`
`GET /v1/environments/{environment_id}/work/{work_id}` | | `environments.list` | Admin, User, Viewer | `GET /v1/environments` | | `environments.update` | Admin, User | `POST /v1/environments/{environment_id}` | | `environments.archive` | Admin, User | `POST /v1/environments/{environment_id}/archive` | | `environments.delete` | Admin, User | `DELETE /v1/environments/{environment_id}` | | `environments.processWork` | Admin, User | `GET /v1/environments/{environment_id}/work/poll`
`POST /v1/environments/{environment_id}/work/{work_id}`
`POST /v1/environments/{environment_id}/work/{work_id}/ack`
`POST /v1/environments/{environment_id}/work/{work_id}/heartbeat`
`POST /v1/environments/{environment_id}/work/{work_id}/stop` | `roles/claude.user` e `roles/claude.admin` incluem todas as permissões de que um worker de [sandbox auto-hospedado](https://platform.claude.com/docs/pt-BR/managed-agents/self-hosted-sandboxes) precisa. `environments.processWork` autoriza estas ações do worker: * Consultar (polling) trabalho disponível * Confirmar itens de trabalho * Enviar heartbeats para itens de trabalho * Interromper itens de trabalho * Atualizar itens de trabalho Essa permissão é separada de `environments.update`. Ler a fila de trabalho e suas estatísticas requer apenas `environments.get`. Além de `environments.processWork`, um worker precisa de outras permissões para executar uma sessão, como `sessions.get` para ler a sessão e seus eventos, `sessions.update` para enviar resultados de ferramentas e `skills.get` para baixar as skills do agente. ### Vaults O Google Cloud registra essas rotas nos logs de auditoria de Admin Activity, exceto a rota de `vaults.verify`, cujo tipo de log de auditoria é Data Access. | Permissão | Papéis | Rotas autorizadas | | ---------------- | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `vaults.create` | Admin, User | `POST /v1/vaults` | | `vaults.get` | Admin, User, Viewer | `GET /v1/vaults/{vault_id}`
`GET /v1/vaults/{vault_id}/credentials`
`GET /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.list` | Admin, User, Viewer | `GET /v1/vaults` | | `vaults.update` | Admin, User | `POST /v1/vaults/{vault_id}`
`POST /v1/vaults/{vault_id}/credentials`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}`
`DELETE /v1/vaults/{vault_id}/credentials/{credential_id}` | | `vaults.archive` | Admin, User | `POST /v1/vaults/{vault_id}/archive`
`POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive` | | `vaults.delete` | Admin, User | `DELETE /v1/vaults/{vault_id}` | | `vaults.verify` | Admin, User | `POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate` | Operações de credenciais requerem as seguintes permissões: * Criar, alterar ou excluir uma credencial: `vaults.update` * Arquivar uma credencial: `vaults.archive` * Ler uma credencial: `vaults.get` * Verificar uma credencial OAuth de MCP armazenada: `vaults.verify` Com `vaults.get`, `roles/claude.viewer` pode listar as credenciais de um vault. Claude Models on Google Cloud (Anthropic managed) nunca retorna os campos secretos de uma credencial. Para saber mais, consulte [Autenticar com vaults](https://platform.claude.com/docs/pt-BR/managed-agents/vaults). ### Memory stores | Permissão | Papéis | Rotas autorizadas | | ---------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `memoryStores.create` | Admin, User | `POST /v1/memory_stores` | | `memoryStores.get` | Admin, User, Viewer | `GET /v1/memory_stores/{memory_store_id}`
`GET /v1/memory_stores/{memory_store_id}/memories`
`GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`GET /v1/memory_stores/{memory_store_id}/memory_versions`
`GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}` | | `memoryStores.list` | Admin, User, Viewer | `GET /v1/memory_stores` | | `memoryStores.update` | Admin, User | `POST /v1/memory_stores/{memory_store_id}`
`POST /v1/memory_stores/{memory_store_id}/memories`
`POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}`
`POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact` | | `memoryStores.archive` | Admin, User | `POST /v1/memory_stores/{memory_store_id}/archive` | | `memoryStores.delete` | Admin, User | `DELETE /v1/memory_stores/{memory_store_id}` | Operações de memory store requerem as seguintes permissões: * Ler o store, suas memórias ou seu histórico de versões: `memoryStores.get` * Criar, alterar ou excluir uma memória: `memoryStores.update` * Redigir (redact) uma versão de memória: `memoryStores.update` ### Deployments | Permissão | Papéis | Rotas autorizadas | | --------------------- | ------------------- | ----------------------------------------------------------------------------------------------------------------------- | | `deployments.create` | Admin, User | `POST /v1/deployments` | | `deployments.get` | Admin, User, Viewer | `GET /v1/deployment_runs`
`GET /v1/deployment_runs/{deployment_run_id}`
`GET /v1/deployments/{deployment_id}` | | `deployments.list` | Admin, User, Viewer | `GET /v1/deployments` | | `deployments.update` | Admin, User | `POST /v1/deployments/{deployment_id}` | | `deployments.archive` | Admin, User | `POST /v1/deployments/{deployment_id}/archive` | | `deployments.run` | Admin, User | `POST /v1/deployments/{deployment_id}/run` | | `deployments.pause` | Admin, User | `POST /v1/deployments/{deployment_id}/pause` | | `deployments.unpause` | Admin, User | `POST /v1/deployments/{deployment_id}/unpause` | Ler execuções de deployment requer `deployments.get`. ### Dreams | Permissão | Papéis | Rotas autorizadas | | ---------------- | ------------------- | ------------------------------------ | | `dreams.create` | Admin, User | `POST /v1/dreams` | | `dreams.get` | Admin, User, Viewer | `GET /v1/dreams/{dream_id}` | | `dreams.list` | Admin, User, Viewer | `GET /v1/dreams` | | `dreams.archive` | Admin, User | `POST /v1/dreams/{dream_id}/archive` | | `dreams.cancel` | Admin, User | `POST /v1/dreams/{dream_id}/cancel` | Dreams é um recurso em research preview (prévia de pesquisa). Para solicitar acesso, consulte [Dreams](https://platform.claude.com/docs/pt-BR/managed-agents/dreams). ### Chaves de criptografia O Google Cloud registra essas rotas nos logs de auditoria de Admin Activity. | Permissão | Papéis | Rotas autorizadas | | --------------------- | ------ | ---------------------------------------------------------- | | `externalKeys.create` | Admin | `POST /v1/organizations/external_keys` | | `externalKeys.get` | Admin | `GET /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.list` | Admin | `GET /v1/organizations/external_keys` | | `externalKeys.update` | Admin | `POST /v1/organizations/external_keys/{external_key_id}` | | `externalKeys.delete` | Admin | `DELETE /v1/organizations/external_keys/{external_key_id}` | Essas permissões gerenciam os registros de chaves de criptografia da sua organização. Dos três papéis predefinidos, apenas `roles/claude.admin` as inclui. ### Relatórios de uso | Permissão | Papéis | Rotas autorizadas | | --------------------- | ------ | --------------------------------------------- | | `usageAnalytics.list` | Admin | `GET /v1/organizations/usage_report/messages` | Dos três papéis predefinidos, apenas `roles/claude.admin` inclui `usageAnalytics.list`. ## Veja também * [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-models-on-google-cloud/anthropic-managed) * [Papéis do IAM](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-models-on-google-cloud/anthropic-managed#iam-roles) * [Monitoramento e logging](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)