Claude Platform Docs
API 参考支持与配置

Claude Models on Google Cloud (Anthropic managed) 的 IAM 权限

查阅 Claude Models on Google Cloud (Anthropic managed) 的 Google Cloud IAM 权限、预定义角色和审计日志类型。

Claude Models on Google Cloud (Anthropic managed) 使用 Google Cloud 的 "Identity and Access Management"（身份和访问管理），即 IAM，进行访问控制。每个 API 路由都需要 claude.googleapis.com 服务中的一项权限。如果调用方不具备该权限，Google Cloud 会返回 HTTP 403 错误。三个 "predefined role"（预定义角色）将这些权限打包在一起。有关设置和身份验证，请参阅 Claude Models on Google Cloud (Anthropic managed)。

服务详情

下表描述了 Claude Models on Google Cloud (Anthropic managed) 的 Google Cloud 服务。

属性值
服务claude.googleapis.com
权限检查位置工作区或 Anthropic 组织
"Audit log"（审计日志）类型Data Access（数据访问）、Admin Activity（管理员活动）
要开启 Data Access 日志，请参阅监控和日志记录。

请在 Google Cloud 项目上授予角色。有关项目、组织和工作区之间的关系，请参阅工作区。

本页中的权限采用简写形式 resource.verb，例如 messages.create。

预定义角色

下表列出了 Claude Models on Google Cloud (Anthropic managed) 的预定义角色。

角色显示名称权限
roles/claude.viewerClaude Viewer工作区资源上的所有 get 和 list 权限。
roles/claude.userClaude Userroles/claude.viewer 中的所有权限，以及工作区资源上的所有其他权限。
例如 messages.create、messages.countTokens 和 environments.processWork。
roles/claude.adminClaude Adminroles/claude.user 中的所有权限，以及在您的 Anthropic 组织上检查的权限。
例如 externalKeys.* 和 usageAnalytics.list。

在以下各表中，Admin、User 和 Viewer 分别代表这三个角色。

权限

以下各表列出了涵盖 111 个路由的 68 项权限。

get 和 list 权限是只读权限。

除非某一节另有说明，否则每个路由的审计日志类型均为 Data Access。

roles/claude.viewer 无法发送消息或计算令牌数。发送消息需要 messages.create。计算令牌数需要 messages.countTokens。

以下各表中的某些路由可能对您的组织不可用。要查看哪些功能可用，请参阅功能支持。

消息

权限角色授权的路由
messages.createAdmin, UserPOST /v1/messages
messages.countTokensAdmin, UserPOST /v1/messages/count_tokens

消息批处理

权限角色授权的路由
messageBatches.createAdmin, UserPOST /v1/messages/batches
messageBatches.getAdmin, User, ViewerGET /v1/messages/batches/{message_batch_id}
GET /v1/messages/batches/{message_batch_id}/results
messageBatches.listAdmin, User, ViewerGET /v1/messages/batches
messageBatches.deleteAdmin, UserDELETE /v1/messages/batches/{message_batch_id}
messageBatches.cancelAdmin, UserPOST /v1/messages/batches/{message_batch_id}/cancel

roles/claude.viewer 可以读取批处理结果。messageBatches.get 既授权读取批处理的元数据，也授权下载其结果。

模型

权限角色授权的路由
models.getAdmin, User, ViewerGET /v1/models/{model_id}
models.listAdmin, User, ViewerGET /v1/models

文件

权限角色授权的路由
files.createAdmin, UserPOST /v1/files
files.getAdmin, User, ViewerGET /v1/files/{file_id}
GET /v1/files/{file_id}/content
files.listAdmin, User, ViewerGET /v1/files
files.deleteAdmin, UserDELETE /v1/files/{file_id}

roles/claude.viewer 可以下载文件。files.get 既授权读取文件的元数据，也授权下载其内容。

技能

权限角色授权的路由
skills.createAdmin, UserPOST /v1/skills
skills.getAdmin, User, ViewerGET /v1/skills/{skill_id}
GET /v1/skills/{skill_id}/versions
GET /v1/skills/{skill_id}/versions/{version}
GET /v1/skills/{skill_id}/versions/{version}/content
skills.listAdmin, User, ViewerGET /v1/skills
skills.updateAdmin, UserPOST /v1/skills/{skill_id}/versions
DELETE /v1/skills/{skill_id}/versions/{version}
skills.deleteAdmin, UserDELETE /v1/skills/{skill_id}

创建或删除技能版本需要 skills.update，而不是 skills.create 或 skills.delete。

代理

权限角色授权的路由
agents.createAdmin, UserPOST /v1/agents
agents.getAdmin, User, ViewerGET /v1/agents/{agent_id}
GET /v1/agents/{agent_id}/versions
agents.listAdmin, User, ViewerGET /v1/agents
agents.updateAdmin, UserPOST /v1/agents/{agent_id}
agents.archiveAdmin, UserPOST /v1/agents/{agent_id}/archive

您可以归档代理，但不能删除代理。

会话

权限角色授权的路由
sessions.createAdmin, UserPOST /v1/sessions
sessions.getAdmin, User, ViewerGET /v1/sessions/{session_id}
GET /v1/sessions/{session_id}/events
GET /v1/sessions/{session_id}/events/stream
GET /v1/sessions/{session_id}/resources
GET /v1/sessions/{session_id}/resources/{resource_id}
GET /v1/sessions/{session_id}/threads
GET /v1/sessions/{session_id}/threads/{thread_id}
GET /v1/sessions/{session_id}/threads/{thread_id}/events
GET /v1/sessions/{session_id}/threads/{thread_id}/stream
sessions.listAdmin, User, ViewerGET /v1/sessions
sessions.updateAdmin, UserPOST /v1/sessions/{session_id}
POST /v1/sessions/{session_id}/events
POST /v1/sessions/{session_id}/resources
POST /v1/sessions/{session_id}/resources/{resource_id}
DELETE /v1/sessions/{session_id}/resources/{resource_id}
sessions.archiveAdmin, UserPOST /v1/sessions/{session_id}/archive
POST /v1/sessions/{session_id}/threads/{thread_id}/archive
sessions.deleteAdmin, UserDELETE /v1/sessions/{session_id}

sessions.get 授权读取会话、其事件历史和事件流、其资源以及其线程。因此，roles/claude.viewer 可以读取每个会话的完整事件历史。

其他会话操作需要以下权限：

  • 发送事件：sessions.update
  • 添加、更改或移除会话资源：sessions.update
  • 归档线程：sessions.archive

环境

权限角色授权的路由
environments.createAdmin, UserPOST /v1/environments
environments.getAdmin, User, ViewerGET /v1/environments/{environment_id}
GET /v1/environments/{environment_id}/work
GET /v1/environments/{environment_id}/work/stats
GET /v1/environments/{environment_id}/work/{work_id}
environments.listAdmin, User, ViewerGET /v1/environments
environments.updateAdmin, UserPOST /v1/environments/{environment_id}
environments.archiveAdmin, UserPOST /v1/environments/{environment_id}/archive
environments.deleteAdmin, UserDELETE /v1/environments/{environment_id}
environments.processWorkAdmin, UserGET /v1/environments/{environment_id}/work/poll
POST /v1/environments/{environment_id}/work/{work_id}
POST /v1/environments/{environment_id}/work/{work_id}/ack
POST /v1/environments/{environment_id}/work/{work_id}/heartbeat
POST /v1/environments/{environment_id}/work/{work_id}/stop

roles/claude.user 和 roles/claude.admin 包含自托管沙箱工作器所需的全部权限。environments.processWork 授权以下工作器操作：

  • 轮询工作
  • 确认工作项
  • 为工作项发送心跳
  • 停止工作项
  • 更新工作项

此权限独立于 environments.update。读取工作队列及其统计信息只需要 environments.get。

除 environments.processWork 之外，工作进程还需要其他权限才能运行会话，例如用于读取会话及其事件的 sessions.get、用于发送工具结果的 sessions.update，以及用于下载智能体技能的 skills.get。

保管库

Google Cloud 会将这些路由记录在 Admin Activity 审计日志中，但 vaults.verify 的路由除外，其审计日志类型为 Data Access。

权限角色授权的路由
vaults.createAdmin, UserPOST /v1/vaults
vaults.getAdmin, User, ViewerGET /v1/vaults/{vault_id}
GET /v1/vaults/{vault_id}/credentials
GET /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.listAdmin, User, ViewerGET /v1/vaults
vaults.updateAdmin, UserPOST /v1/vaults/{vault_id}
POST /v1/vaults/{vault_id}/credentials
POST /v1/vaults/{vault_id}/credentials/{credential_id}
DELETE /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.archiveAdmin, UserPOST /v1/vaults/{vault_id}/archive
POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive
vaults.deleteAdmin, UserDELETE /v1/vaults/{vault_id}
vaults.verifyAdmin, UserPOST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate

凭据操作需要以下权限：

  • 创建、更改或删除凭据：vaults.update
  • 归档凭据：vaults.archive
  • 读取凭据：vaults.get
  • 检查已存储的 MCP OAuth 凭据：vaults.verify

借助 vaults.get，roles/claude.viewer 可以列出保管库的凭据。Claude Models on Google Cloud (Anthropic managed) 从不返回凭据的机密字段。要了解更多信息，请参阅使用保管库进行身份验证。

记忆存储

权限角色授权的路由
memoryStores.createAdmin, UserPOST /v1/memory_stores
memoryStores.getAdmin, User, ViewerGET /v1/memory_stores/{memory_store_id}
GET /v1/memory_stores/{memory_store_id}/memories
GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}
GET /v1/memory_stores/{memory_store_id}/memory_versions
GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}
memoryStores.listAdmin, User, ViewerGET /v1/memory_stores
memoryStores.updateAdmin, UserPOST /v1/memory_stores/{memory_store_id}
POST /v1/memory_stores/{memory_store_id}/memories
POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}
DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}
POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact
memoryStores.archiveAdmin, UserPOST /v1/memory_stores/{memory_store_id}/archive
memoryStores.deleteAdmin, UserDELETE /v1/memory_stores/{memory_store_id}

记忆存储操作需要以下权限：

  • 读取存储、其记忆或其版本历史：memoryStores.get
  • 创建、更改或删除记忆：memoryStores.update
  • 编辑（redact）记忆版本：memoryStores.update

部署

权限角色授权的路由
deployments.createAdmin, UserPOST /v1/deployments
deployments.getAdmin, User, ViewerGET /v1/deployment_runs
GET /v1/deployment_runs/{deployment_run_id}
GET /v1/deployments/{deployment_id}
deployments.listAdmin, User, ViewerGET /v1/deployments
deployments.updateAdmin, UserPOST /v1/deployments/{deployment_id}
deployments.archiveAdmin, UserPOST /v1/deployments/{deployment_id}/archive
deployments.runAdmin, UserPOST /v1/deployments/{deployment_id}/run
deployments.pauseAdmin, UserPOST /v1/deployments/{deployment_id}/pause
deployments.unpauseAdmin, UserPOST /v1/deployments/{deployment_id}/unpause

读取部署运行需要 deployments.get。

Dreams

权限角色授权的路由
dreams.createAdmin, UserPOST /v1/dreams
dreams.getAdmin, User, ViewerGET /v1/dreams/{dream_id}
dreams.listAdmin, User, ViewerGET /v1/dreams
dreams.archiveAdmin, UserPOST /v1/dreams/{dream_id}/archive
dreams.cancelAdmin, UserPOST /v1/dreams/{dream_id}/cancel

Dreams 是一项研究预览功能。要申请访问权限，请参阅 Dreams。

加密密钥

Google Cloud 会将这些路由记录在 Admin Activity 审计日志中。

权限角色授权的路由
externalKeys.createAdminPOST /v1/organizations/external_keys
externalKeys.getAdminGET /v1/organizations/external_keys/{external_key_id}
externalKeys.listAdminGET /v1/organizations/external_keys
externalKeys.updateAdminPOST /v1/organizations/external_keys/{external_key_id}
externalKeys.deleteAdminDELETE /v1/organizations/external_keys/{external_key_id}

这些权限用于管理您组织的加密密钥注册。在三个预定义角色中，只有 roles/claude.admin 包含这些权限。

使用情况报告

权限角色授权的路由
usageAnalytics.listAdminGET /v1/organizations/usage_report/messages

在三个预定义角色中，只有 roles/claude.admin 包含 usageAnalytics.list。

另请参阅

Was this page helpful?