Claude Platform Docs
Справочник по APIПоддержка и настройка

Разрешения IAM для Claude Models on Google Cloud (Anthropic managed)

Справочник по разрешениям Google Cloud IAM, предопределённым ролям и типам журналов аудита для Claude Models on Google Cloud (Anthropic managed).

Claude Models on Google Cloud (Anthropic managed) использует Google Cloud IAM для управления доступом. Каждому маршруту API требуется одно разрешение от сервиса claude.googleapis.com. Если у вызывающей стороны нет этого разрешения, Google Cloud возвращает ошибку HTTP 403. Разрешения объединены в три предопределённые роли. Сведения о настройке и аутентификации см. в разделе Claude Models on Google Cloud (Anthropic managed).

Сведения о сервисе

В следующей таблице описан сервис Google Cloud для Claude Models on Google Cloud (Anthropic managed).

АтрибутЗначение
Сервисclaude.googleapis.com
Где проверяются разрешенияРабочее пространство или организация Anthropic
Типы журналов аудитаData Access, Admin Activity
Чтобы включить журналы Data Access, см. раздел Мониторинг и ведение журналов.

Назначайте роли на уровне проекта Google Cloud. О том, как связаны проекты, организации и рабочие пространства, см. раздел Рабочие пространства.

Разрешения на этой странице указаны в краткой форме resource.verb, например messages.create.

Предопределённые роли

В следующей таблице перечислены предопределённые роли для Claude Models on Google Cloud (Anthropic managed).

РольОтображаемое имяРазрешения
roles/claude.viewerClaude ViewerВсе разрешения get и list для ресурсов рабочего пространства.
roles/claude.userClaude UserВсё, что входит в roles/claude.viewer, а также все остальные разрешения для ресурсов рабочего пространства.
Например, messages.create, messages.countTokens и environments.processWork.
roles/claude.adminClaude AdminВсё, что входит в roles/claude.user, а также разрешения, проверяемые на уровне вашей организации Anthropic.
Например, externalKeys.* и usageAnalytics.list.

В следующих таблицах Admin, User и Viewer обозначают эти три роли.

Разрешения

В следующих таблицах перечислены 68 разрешений для 111 маршрутов.

Разрешения get и list предназначены только для чтения.

Если в разделе не указано иное, тип журнала аудита для каждого маршрута — Data Access.

roles/claude.viewer не может отправлять сообщения или подсчитывать токены. Для отправки сообщения требуется messages.create. Для подсчёта токенов требуется messages.countTokens.

Некоторые маршруты в следующих таблицах могут быть недоступны для вашей организации. Чтобы проверить, какие функции доступны, см. раздел Поддержка функций.

Сообщения

РазрешениеРолиРазрешённые маршруты
messages.createAdmin, UserPOST /v1/messages
messages.countTokensAdmin, UserPOST /v1/messages/count_tokens

Пакеты сообщений

РазрешениеРолиРазрешённые маршруты
messageBatches.createAdmin, UserPOST /v1/messages/batches
messageBatches.getAdmin, User, ViewerGET /v1/messages/batches/{message_batch_id}
GET /v1/messages/batches/{message_batch_id}/results
messageBatches.listAdmin, User, ViewerGET /v1/messages/batches
messageBatches.deleteAdmin, UserDELETE /v1/messages/batches/{message_batch_id}
messageBatches.cancelAdmin, UserPOST /v1/messages/batches/{message_batch_id}/cancel

roles/claude.viewer может читать результаты пакетов. messageBatches.get разрешает как чтение метаданных пакета, так и загрузку его результатов.

Модели

РазрешениеРолиРазрешённые маршруты
models.getAdmin, User, ViewerGET /v1/models/{model_id}
models.listAdmin, User, ViewerGET /v1/models

Файлы

РазрешениеРолиРазрешённые маршруты
files.createAdmin, UserPOST /v1/files
files.getAdmin, User, ViewerGET /v1/files/{file_id}
GET /v1/files/{file_id}/content
files.listAdmin, User, ViewerGET /v1/files
files.deleteAdmin, UserDELETE /v1/files/{file_id}

roles/claude.viewer может загружать файлы. files.get разрешает как чтение метаданных файла, так и загрузку его содержимого.

Навыки

РазрешениеРолиРазрешённые маршруты
skills.createAdmin, UserPOST /v1/skills
skills.getAdmin, User, ViewerGET /v1/skills/{skill_id}
GET /v1/skills/{skill_id}/versions
GET /v1/skills/{skill_id}/versions/{version}
GET /v1/skills/{skill_id}/versions/{version}/content
skills.listAdmin, User, ViewerGET /v1/skills
skills.updateAdmin, UserPOST /v1/skills/{skill_id}/versions
DELETE /v1/skills/{skill_id}/versions/{version}
skills.deleteAdmin, UserDELETE /v1/skills/{skill_id}

Для создания или удаления версии навыка требуется skills.update, а не skills.create или skills.delete.

Агенты

РазрешениеРолиРазрешённые маршруты
agents.createAdmin, UserPOST /v1/agents
agents.getAdmin, User, ViewerGET /v1/agents/{agent_id}
GET /v1/agents/{agent_id}/versions
agents.listAdmin, User, ViewerGET /v1/agents
agents.updateAdmin, UserPOST /v1/agents/{agent_id}
agents.archiveAdmin, UserPOST /v1/agents/{agent_id}/archive

Агента можно архивировать, но нельзя удалить.

Сеансы

РазрешениеРолиРазрешённые маршруты
sessions.createAdmin, UserPOST /v1/sessions
sessions.getAdmin, User, ViewerGET /v1/sessions/{session_id}
GET /v1/sessions/{session_id}/events
GET /v1/sessions/{session_id}/events/stream
GET /v1/sessions/{session_id}/resources
GET /v1/sessions/{session_id}/resources/{resource_id}
GET /v1/sessions/{session_id}/threads
GET /v1/sessions/{session_id}/threads/{thread_id}
GET /v1/sessions/{session_id}/threads/{thread_id}/events
GET /v1/sessions/{session_id}/threads/{thread_id}/stream
sessions.listAdmin, User, ViewerGET /v1/sessions
sessions.updateAdmin, UserPOST /v1/sessions/{session_id}
POST /v1/sessions/{session_id}/events
POST /v1/sessions/{session_id}/resources
POST /v1/sessions/{session_id}/resources/{resource_id}
DELETE /v1/sessions/{session_id}/resources/{resource_id}
sessions.archiveAdmin, UserPOST /v1/sessions/{session_id}/archive
POST /v1/sessions/{session_id}/threads/{thread_id}/archive
sessions.deleteAdmin, UserDELETE /v1/sessions/{session_id}

sessions.get разрешает чтение сеанса, его истории событий и потока событий, его ресурсов и его потоков. В результате roles/claude.viewer может читать полную историю событий любого сеанса.

Для других операций с сеансами требуются следующие разрешения:

  • Отправка событий: sessions.update
  • Добавление, изменение или удаление ресурсов сеанса: sessions.update
  • Архивирование потока: sessions.archive

Среды

РазрешениеРолиРазрешённые маршруты
environments.createAdmin, UserPOST /v1/environments
environments.getAdmin, User, ViewerGET /v1/environments/{environment_id}
GET /v1/environments/{environment_id}/work
GET /v1/environments/{environment_id}/work/stats
GET /v1/environments/{environment_id}/work/{work_id}
environments.listAdmin, User, ViewerGET /v1/environments
environments.updateAdmin, UserPOST /v1/environments/{environment_id}
environments.archiveAdmin, UserPOST /v1/environments/{environment_id}/archive
environments.deleteAdmin, UserDELETE /v1/environments/{environment_id}
environments.processWorkAdmin, UserGET /v1/environments/{environment_id}/work/poll
POST /v1/environments/{environment_id}/work/{work_id}
POST /v1/environments/{environment_id}/work/{work_id}/ack
POST /v1/environments/{environment_id}/work/{work_id}/heartbeat
POST /v1/environments/{environment_id}/work/{work_id}/stop

roles/claude.user и roles/claude.admin включают все разрешения, необходимые рабочему процессу самостоятельно размещённой песочницы. environments.processWork авторизует следующие действия рабочего процесса:

  • Опрос на наличие работы
  • Подтверждение рабочих элементов
  • Отправка сигналов активности (heartbeat) для рабочих элементов
  • Остановка рабочих элементов
  • Обновление рабочих элементов

Это разрешение отделено от environments.update. Для чтения очереди работ и её статистики требуется только environments.get.

Помимо environments.processWork, рабочему процессу для выполнения сеанса нужны и другие разрешения, например sessions.get для чтения сеанса и его событий, sessions.update для отправки результатов инструментов и skills.get для загрузки навыков агента.

Хранилища

Google Cloud записывает эти маршруты в журналы аудита Admin Activity, за исключением маршрута для vaults.verify, тип журнала аудита которого — Data Access.

РазрешениеРолиРазрешённые маршруты
vaults.createAdmin, UserPOST /v1/vaults
vaults.getAdmin, User, ViewerGET /v1/vaults/{vault_id}
GET /v1/vaults/{vault_id}/credentials
GET /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.listAdmin, User, ViewerGET /v1/vaults
vaults.updateAdmin, UserPOST /v1/vaults/{vault_id}
POST /v1/vaults/{vault_id}/credentials
POST /v1/vaults/{vault_id}/credentials/{credential_id}
DELETE /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.archiveAdmin, UserPOST /v1/vaults/{vault_id}/archive
POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive
vaults.deleteAdmin, UserDELETE /v1/vaults/{vault_id}
vaults.verifyAdmin, UserPOST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate

Для операций с учётными данными требуются следующие разрешения:

  • Создание, изменение или удаление учётных данных: vaults.update
  • Архивирование учётных данных: vaults.archive
  • Чтение учётных данных: vaults.get
  • Проверка сохранённых учётных данных MCP OAuth: vaults.verify

С разрешением vaults.get роль roles/claude.viewer может получать список учётных данных хранилища. Claude Models on Google Cloud (Anthropic managed) никогда не возвращает секретные поля учётных данных. Подробнее см. в разделе Аутентификация с помощью хранилищ.

Хранилища памяти

РазрешениеРолиРазрешённые маршруты
memoryStores.createAdmin, UserPOST /v1/memory_stores
memoryStores.getAdmin, User, ViewerGET /v1/memory_stores/{memory_store_id}
GET /v1/memory_stores/{memory_store_id}/memories
GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}
GET /v1/memory_stores/{memory_store_id}/memory_versions
GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}
memoryStores.listAdmin, User, ViewerGET /v1/memory_stores
memoryStores.updateAdmin, UserPOST /v1/memory_stores/{memory_store_id}
POST /v1/memory_stores/{memory_store_id}/memories
POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}
DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}
POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact
memoryStores.archiveAdmin, UserPOST /v1/memory_stores/{memory_store_id}/archive
memoryStores.deleteAdmin, UserDELETE /v1/memory_stores/{memory_store_id}

Для операций с хранилищами памяти требуются следующие разрешения:

  • Чтение хранилища, его записей памяти или истории версий: memoryStores.get
  • Создание, изменение или удаление записи памяти: memoryStores.update
  • Редактирование (скрытие данных) версии записи памяти: memoryStores.update

Развёртывания

РазрешениеРолиРазрешённые маршруты
deployments.createAdmin, UserPOST /v1/deployments
deployments.getAdmin, User, ViewerGET /v1/deployment_runs
GET /v1/deployment_runs/{deployment_run_id}
GET /v1/deployments/{deployment_id}
deployments.listAdmin, User, ViewerGET /v1/deployments
deployments.updateAdmin, UserPOST /v1/deployments/{deployment_id}
deployments.archiveAdmin, UserPOST /v1/deployments/{deployment_id}/archive
deployments.runAdmin, UserPOST /v1/deployments/{deployment_id}/run
deployments.pauseAdmin, UserPOST /v1/deployments/{deployment_id}/pause
deployments.unpauseAdmin, UserPOST /v1/deployments/{deployment_id}/unpause

Для чтения запусков развёртываний требуется deployments.get.

Dreams

РазрешениеРолиРазрешённые маршруты
dreams.createAdmin, UserPOST /v1/dreams
dreams.getAdmin, User, ViewerGET /v1/dreams/{dream_id}
dreams.listAdmin, User, ViewerGET /v1/dreams
dreams.archiveAdmin, UserPOST /v1/dreams/{dream_id}/archive
dreams.cancelAdmin, UserPOST /v1/dreams/{dream_id}/cancel

Dreams — это функция в статусе исследовательской предварительной версии. Чтобы запросить доступ, см. раздел Dreams.

Ключи шифрования

Google Cloud записывает эти маршруты в журналы аудита Admin Activity.

РазрешениеРолиРазрешённые маршруты
externalKeys.createAdminPOST /v1/organizations/external_keys
externalKeys.getAdminGET /v1/organizations/external_keys/{external_key_id}
externalKeys.listAdminGET /v1/organizations/external_keys
externalKeys.updateAdminPOST /v1/organizations/external_keys/{external_key_id}
externalKeys.deleteAdminDELETE /v1/organizations/external_keys/{external_key_id}

Эти разрешения управляют регистрациями ключей шифрования вашей организации. Из трёх предопределённых ролей они входят только в roles/claude.admin.

Отчёты об использовании

РазрешениеРолиРазрешённые маршруты
usageAnalytics.listAdminGET /v1/organizations/usage_report/messages

Из трёх предопределённых ролей usageAnalytics.list входит только в roles/claude.admin.

См. также

Was this page helpful?