---
title: Разрешения IAM для Claude Models on Google Cloud (Anthropic managed)
url: https://platform.claude.com/docs/ru/api/claude-models-on-google-cloud-anthropic-managed-iam-permissions
description: Справочник по разрешениям Google Cloud IAM, предопределённым ролям и типам журналов аудита для Claude Models on Google Cloud (Anthropic managed).
---

Claude Models on Google Cloud (Anthropic managed) использует Google Cloud IAM для управления доступом. Каждому маршруту API требуется одно разрешение от сервиса `claude.googleapis.com`. Если у вызывающей стороны нет этого разрешения, Google Cloud возвращает ошибку HTTP 403. Разрешения объединены в три предопределённые роли. Сведения о настройке и аутентификации см. в разделе [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/ru/build-with-claude/claude-models-on-google-cloud/anthropic-managed).

## Сведения о сервисе

В следующей таблице описан сервис Google Cloud для Claude Models on Google Cloud (Anthropic managed).

| Атрибут                        | Значение                                                                                                                                                                                                                                       |
| ------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Сервис**                     | `claude.googleapis.com`                                                                                                                                                                                                                        |
| **Где проверяются разрешения** | Рабочее пространство или организация Anthropic                                                                                                                                                                                                 |
| **Типы журналов аудита**       | Data Access, Admin Activity<br />Чтобы включить журналы Data Access, см. раздел [Мониторинг и ведение журналов](https://platform.claude.com/docs/ru/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging). |

Назначайте роли на уровне проекта Google Cloud. О том, как связаны проекты, организации и рабочие пространства, см. раздел [Рабочие пространства](https://platform.claude.com/docs/ru/build-with-claude/claude-models-on-google-cloud/anthropic-managed#workspaces).

Разрешения на этой странице указаны в краткой форме `resource.verb`, например `messages.create`.

## Предопределённые роли

В следующей таблице перечислены предопределённые роли для Claude Models on Google Cloud (Anthropic managed).

| Роль                  | Отображаемое имя | Разрешения                                                                                                                                                                                           |
| --------------------- | ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `roles/claude.viewer` | Claude Viewer    | Все разрешения `get` и `list` для ресурсов рабочего пространства.                                                                                                                                    |
| `roles/claude.user`   | Claude User      | Всё, что входит в `roles/claude.viewer`, а также все остальные разрешения для ресурсов рабочего пространства.<br />Например, `messages.create`, `messages.countTokens` и `environments.processWork`. |
| `roles/claude.admin`  | Claude Admin     | Всё, что входит в `roles/claude.user`, а также разрешения, проверяемые на уровне вашей организации Anthropic.<br />Например, `externalKeys.*` и `usageAnalytics.list`.                               |

В следующих таблицах **Admin**, **User** и **Viewer** обозначают эти три роли.

## Разрешения

В следующих таблицах перечислены 68 разрешений для 111 маршрутов.

Разрешения `get` и `list` предназначены только для чтения.

Если в разделе не указано иное, тип журнала аудита для каждого маршрута — Data Access.

`roles/claude.viewer` не может отправлять сообщения или подсчитывать токены. Для отправки сообщения требуется `messages.create`. Для подсчёта токенов требуется `messages.countTokens`.

Некоторые маршруты в следующих таблицах могут быть недоступны для вашей организации. Чтобы проверить, какие функции доступны, см. раздел [Поддержка функций](https://platform.claude.com/docs/ru/build-with-claude/claude-models-on-google-cloud/anthropic-managed#feature-support).

### Сообщения

| Разрешение             | Роли        | Разрешённые маршруты             |
| ---------------------- | ----------- | -------------------------------- |
| `messages.create`      | Admin, User | `POST /v1/messages`              |
| `messages.countTokens` | Admin, User | `POST /v1/messages/count_tokens` |

### Пакеты сообщений

| Разрешение              | Роли                | Разрешённые маршруты                                                                                     |
| ----------------------- | ------------------- | -------------------------------------------------------------------------------------------------------- |
| `messageBatches.create` | Admin, User         | `POST /v1/messages/batches`                                                                              |
| `messageBatches.get`    | Admin, User, Viewer | `GET /v1/messages/batches/{message_batch_id}`<br />`GET /v1/messages/batches/{message_batch_id}/results` |
| `messageBatches.list`   | Admin, User, Viewer | `GET /v1/messages/batches`                                                                               |
| `messageBatches.delete` | Admin, User         | `DELETE /v1/messages/batches/{message_batch_id}`                                                         |
| `messageBatches.cancel` | Admin, User         | `POST /v1/messages/batches/{message_batch_id}/cancel`                                                    |

`roles/claude.viewer` может читать результаты пакетов. `messageBatches.get` разрешает как чтение метаданных пакета, так и загрузку его результатов.

### Модели

| Разрешение    | Роли                | Разрешённые маршруты        |
| ------------- | ------------------- | --------------------------- |
| `models.get`  | Admin, User, Viewer | `GET /v1/models/{model_id}` |
| `models.list` | Admin, User, Viewer | `GET /v1/models`            |

### Файлы

| Разрешение     | Роли                | Разрешённые маршруты                                             |
| -------------- | ------------------- | ---------------------------------------------------------------- |
| `files.create` | Admin, User         | `POST /v1/files`                                                 |
| `files.get`    | Admin, User, Viewer | `GET /v1/files/{file_id}`<br />`GET /v1/files/{file_id}/content` |
| `files.list`   | Admin, User, Viewer | `GET /v1/files`                                                  |
| `files.delete` | Admin, User         | `DELETE /v1/files/{file_id}`                                     |

`roles/claude.viewer` может загружать файлы. `files.get` разрешает как чтение метаданных файла, так и загрузку его содержимого.

### Навыки

| Разрешение      | Роли                | Разрешённые маршруты                                                                                                                                                                  |
| --------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `skills.create` | Admin, User         | `POST /v1/skills`                                                                                                                                                                     |
| `skills.get`    | Admin, User, Viewer | `GET /v1/skills/{skill_id}`<br />`GET /v1/skills/{skill_id}/versions`<br />`GET /v1/skills/{skill_id}/versions/{version}`<br />`GET /v1/skills/{skill_id}/versions/{version}/content` |
| `skills.list`   | Admin, User, Viewer | `GET /v1/skills`                                                                                                                                                                      |
| `skills.update` | Admin, User         | `POST /v1/skills/{skill_id}/versions`<br />`DELETE /v1/skills/{skill_id}/versions/{version}`                                                                                          |
| `skills.delete` | Admin, User         | `DELETE /v1/skills/{skill_id}`                                                                                                                                                        |

Для создания или удаления версии навыка требуется `skills.update`, а не `skills.create` или `skills.delete`.

### Агенты

| Разрешение       | Роли                | Разрешённые маршруты                                                  |
| ---------------- | ------------------- | --------------------------------------------------------------------- |
| `agents.create`  | Admin, User         | `POST /v1/agents`                                                     |
| `agents.get`     | Admin, User, Viewer | `GET /v1/agents/{agent_id}`<br />`GET /v1/agents/{agent_id}/versions` |
| `agents.list`    | Admin, User, Viewer | `GET /v1/agents`                                                      |
| `agents.update`  | Admin, User         | `POST /v1/agents/{agent_id}`                                          |
| `agents.archive` | Admin, User         | `POST /v1/agents/{agent_id}/archive`                                  |

Агента можно архивировать, но нельзя удалить.

### Сеансы

| Разрешение         | Роли                | Разрешённые маршруты                                                                                                                                                                                                                                                                                                                                                                                                                                                             |
| ------------------ | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `sessions.create`  | Admin, User         | `POST /v1/sessions`                                                                                                                                                                                                                                                                                                                                                                                                                                                              |
| `sessions.get`     | Admin, User, Viewer | `GET /v1/sessions/{session_id}`<br />`GET /v1/sessions/{session_id}/events`<br />`GET /v1/sessions/{session_id}/events/stream`<br />`GET /v1/sessions/{session_id}/resources`<br />`GET /v1/sessions/{session_id}/resources/{resource_id}`<br />`GET /v1/sessions/{session_id}/threads`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}/events`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}/stream` |
| `sessions.list`    | Admin, User, Viewer | `GET /v1/sessions`                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
| `sessions.update`  | Admin, User         | `POST /v1/sessions/{session_id}`<br />`POST /v1/sessions/{session_id}/events`<br />`POST /v1/sessions/{session_id}/resources`<br />`POST /v1/sessions/{session_id}/resources/{resource_id}`<br />`DELETE /v1/sessions/{session_id}/resources/{resource_id}`                                                                                                                                                                                                                      |
| `sessions.archive` | Admin, User         | `POST /v1/sessions/{session_id}/archive`<br />`POST /v1/sessions/{session_id}/threads/{thread_id}/archive`                                                                                                                                                                                                                                                                                                                                                                       |
| `sessions.delete`  | Admin, User         | `DELETE /v1/sessions/{session_id}`                                                                                                                                                                                                                                                                                                                                                                                                                                               |

`sessions.get` разрешает чтение сеанса, его истории событий и потока событий, его ресурсов и его потоков. В результате `roles/claude.viewer` может читать полную историю событий любого сеанса.

Для других операций с сеансами требуются следующие разрешения:

* Отправка событий: `sessions.update`
* Добавление, изменение или удаление ресурсов сеанса: `sessions.update`
* Архивирование потока: `sessions.archive`

### Среды

| Разрешение                 | Роли                | Разрешённые маршруты                                                                                                                                                                                                                                                                                                     |
| -------------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `environments.create`      | Admin, User         | `POST /v1/environments`                                                                                                                                                                                                                                                                                                  |
| `environments.get`         | Admin, User, Viewer | `GET /v1/environments/{environment_id}`<br />`GET /v1/environments/{environment_id}/work`<br />`GET /v1/environments/{environment_id}/work/stats`<br />`GET /v1/environments/{environment_id}/work/{work_id}`                                                                                                            |
| `environments.list`        | Admin, User, Viewer | `GET /v1/environments`                                                                                                                                                                                                                                                                                                   |
| `environments.update`      | Admin, User         | `POST /v1/environments/{environment_id}`                                                                                                                                                                                                                                                                                 |
| `environments.archive`     | Admin, User         | `POST /v1/environments/{environment_id}/archive`                                                                                                                                                                                                                                                                         |
| `environments.delete`      | Admin, User         | `DELETE /v1/environments/{environment_id}`                                                                                                                                                                                                                                                                               |
| `environments.processWork` | Admin, User         | `GET /v1/environments/{environment_id}/work/poll`<br />`POST /v1/environments/{environment_id}/work/{work_id}`<br />`POST /v1/environments/{environment_id}/work/{work_id}/ack`<br />`POST /v1/environments/{environment_id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{environment_id}/work/{work_id}/stop` |

`roles/claude.user` и `roles/claude.admin` включают все разрешения, необходимые рабочему процессу [самостоятельно размещённой песочницы](https://platform.claude.com/docs/ru/managed-agents/self-hosted-sandboxes). `environments.processWork` авторизует следующие действия рабочего процесса:

* Опрос на наличие работы
* Подтверждение рабочих элементов
* Отправка сигналов активности (heartbeat) для рабочих элементов
* Остановка рабочих элементов
* Обновление рабочих элементов

Это разрешение отделено от `environments.update`. Для чтения очереди работ и её статистики требуется только `environments.get`.

Помимо `environments.processWork`, рабочему процессу для выполнения сеанса нужны и другие разрешения, например `sessions.get` для чтения сеанса и его событий, `sessions.update` для отправки результатов инструментов и `skills.get` для загрузки навыков агента.

### Хранилища

Google Cloud записывает эти маршруты в журналы аудита Admin Activity, за исключением маршрута для `vaults.verify`, тип журнала аудита которого — Data Access.

| Разрешение       | Роли                | Разрешённые маршруты                                                                                                                                                                                     |
| ---------------- | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `vaults.create`  | Admin, User         | `POST /v1/vaults`                                                                                                                                                                                        |
| `vaults.get`     | Admin, User, Viewer | `GET /v1/vaults/{vault_id}`<br />`GET /v1/vaults/{vault_id}/credentials`<br />`GET /v1/vaults/{vault_id}/credentials/{credential_id}`                                                                    |
| `vaults.list`    | Admin, User, Viewer | `GET /v1/vaults`                                                                                                                                                                                         |
| `vaults.update`  | Admin, User         | `POST /v1/vaults/{vault_id}`<br />`POST /v1/vaults/{vault_id}/credentials`<br />`POST /v1/vaults/{vault_id}/credentials/{credential_id}`<br />`DELETE /v1/vaults/{vault_id}/credentials/{credential_id}` |
| `vaults.archive` | Admin, User         | `POST /v1/vaults/{vault_id}/archive`<br />`POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive`                                                                                               |
| `vaults.delete`  | Admin, User         | `DELETE /v1/vaults/{vault_id}`                                                                                                                                                                           |
| `vaults.verify`  | Admin, User         | `POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate`                                                                                                                              |

Для операций с учётными данными требуются следующие разрешения:

* Создание, изменение или удаление учётных данных: `vaults.update`
* Архивирование учётных данных: `vaults.archive`
* Чтение учётных данных: `vaults.get`
* Проверка сохранённых учётных данных MCP OAuth: `vaults.verify`

С разрешением `vaults.get` роль `roles/claude.viewer` может получать список учётных данных хранилища. Claude Models on Google Cloud (Anthropic managed) никогда не возвращает секретные поля учётных данных. Подробнее см. в разделе [Аутентификация с помощью хранилищ](https://platform.claude.com/docs/ru/managed-agents/vaults).

### Хранилища памяти

| Разрешение             | Роли                | Разрешённые маршруты                                                                                                                                                                                                                                                                                                                       |
| ---------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `memoryStores.create`  | Admin, User         | `POST /v1/memory_stores`                                                                                                                                                                                                                                                                                                                   |
| `memoryStores.get`     | Admin, User, Viewer | `GET /v1/memory_stores/{memory_store_id}`<br />`GET /v1/memory_stores/{memory_store_id}/memories`<br />`GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`GET /v1/memory_stores/{memory_store_id}/memory_versions`<br />`GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}`                    |
| `memoryStores.list`    | Admin, User, Viewer | `GET /v1/memory_stores`                                                                                                                                                                                                                                                                                                                    |
| `memoryStores.update`  | Admin, User         | `POST /v1/memory_stores/{memory_store_id}`<br />`POST /v1/memory_stores/{memory_store_id}/memories`<br />`POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact` |
| `memoryStores.archive` | Admin, User         | `POST /v1/memory_stores/{memory_store_id}/archive`                                                                                                                                                                                                                                                                                         |
| `memoryStores.delete`  | Admin, User         | `DELETE /v1/memory_stores/{memory_store_id}`                                                                                                                                                                                                                                                                                               |

Для операций с хранилищами памяти требуются следующие разрешения:

* Чтение хранилища, его записей памяти или истории версий: `memoryStores.get`
* Создание, изменение или удаление записи памяти: `memoryStores.update`
* Редактирование (скрытие данных) версии записи памяти: `memoryStores.update`

### Развёртывания

| Разрешение            | Роли                | Разрешённые маршруты                                                                                                    |
| --------------------- | ------------------- | ----------------------------------------------------------------------------------------------------------------------- |
| `deployments.create`  | Admin, User         | `POST /v1/deployments`                                                                                                  |
| `deployments.get`     | Admin, User, Viewer | `GET /v1/deployment_runs`<br />`GET /v1/deployment_runs/{deployment_run_id}`<br />`GET /v1/deployments/{deployment_id}` |
| `deployments.list`    | Admin, User, Viewer | `GET /v1/deployments`                                                                                                   |
| `deployments.update`  | Admin, User         | `POST /v1/deployments/{deployment_id}`                                                                                  |
| `deployments.archive` | Admin, User         | `POST /v1/deployments/{deployment_id}/archive`                                                                          |
| `deployments.run`     | Admin, User         | `POST /v1/deployments/{deployment_id}/run`                                                                              |
| `deployments.pause`   | Admin, User         | `POST /v1/deployments/{deployment_id}/pause`                                                                            |
| `deployments.unpause` | Admin, User         | `POST /v1/deployments/{deployment_id}/unpause`                                                                          |

Для чтения запусков развёртываний требуется `deployments.get`.

### Dreams

| Разрешение       | Роли                | Разрешённые маршруты                 |
| ---------------- | ------------------- | ------------------------------------ |
| `dreams.create`  | Admin, User         | `POST /v1/dreams`                    |
| `dreams.get`     | Admin, User, Viewer | `GET /v1/dreams/{dream_id}`          |
| `dreams.list`    | Admin, User, Viewer | `GET /v1/dreams`                     |
| `dreams.archive` | Admin, User         | `POST /v1/dreams/{dream_id}/archive` |
| `dreams.cancel`  | Admin, User         | `POST /v1/dreams/{dream_id}/cancel`  |

Dreams — это функция в статусе исследовательской предварительной версии. Чтобы запросить доступ, см. раздел [Dreams](https://platform.claude.com/docs/ru/managed-agents/dreams).

### Ключи шифрования

Google Cloud записывает эти маршруты в журналы аудита Admin Activity.

| Разрешение            | Роли  | Разрешённые маршруты                                       |
| --------------------- | ----- | ---------------------------------------------------------- |
| `externalKeys.create` | Admin | `POST /v1/organizations/external_keys`                     |
| `externalKeys.get`    | Admin | `GET /v1/organizations/external_keys/{external_key_id}`    |
| `externalKeys.list`   | Admin | `GET /v1/organizations/external_keys`                      |
| `externalKeys.update` | Admin | `POST /v1/organizations/external_keys/{external_key_id}`   |
| `externalKeys.delete` | Admin | `DELETE /v1/organizations/external_keys/{external_key_id}` |

Эти разрешения управляют регистрациями ключей шифрования вашей организации. Из трёх предопределённых ролей они входят только в `roles/claude.admin`.

### Отчёты об использовании

| Разрешение            | Роли  | Разрешённые маршруты                          |
| --------------------- | ----- | --------------------------------------------- |
| `usageAnalytics.list` | Admin | `GET /v1/organizations/usage_report/messages` |

Из трёх предопределённых ролей `usageAnalytics.list` входит только в `roles/claude.admin`.

## См. также

* [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/ru/build-with-claude/claude-models-on-google-cloud/anthropic-managed)
* [Роли IAM](https://platform.claude.com/docs/ru/build-with-claude/claude-models-on-google-cloud/anthropic-managed#iam-roles)
* [Мониторинг и ведение журналов](https://platform.claude.com/docs/ru/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)