Claude Platform Docs
API 參考支援與設定

Claude Models on Google Cloud (Anthropic managed) 的 IAM 權限

查詢 Claude Models on Google Cloud (Anthropic managed) 的 Google Cloud IAM 權限、預先定義的角色以及稽核記錄類型。

Claude Models on Google Cloud (Anthropic managed) 使用 Google Cloud 的「Identity and Access Management」（身分與存取管理），即 IAM，進行存取控制。每個 API 路由都需要 claude.googleapis.com 服務中的一項權限。如果呼叫者不具備該權限，Google Cloud 會傳回 HTTP 403 錯誤。三個「predefined roles」（預先定義的角色）將這些權限組合在一起。如需設定與驗證的相關資訊，請參閱 Claude Models on Google Cloud (Anthropic managed)。

服務詳細資訊

下表說明 Claude Models on Google Cloud (Anthropic managed) 的 Google Cloud 服務。

屬性值
服務claude.googleapis.com
檢查權限的位置工作區或 Anthropic 組織
「Audit log」（稽核記錄）類型Data Access、Admin Activity
若要開啟 Data Access 記錄，請參閱監控與記錄。

請在 Google Cloud 專案上授予角色。如需了解專案、組織與工作區之間的關係，請參閱工作區。

本頁中的權限採用簡短形式 resource.verb，例如 messages.create。

預先定義的角色

下表列出 Claude Models on Google Cloud (Anthropic managed) 的預先定義角色。

角色顯示名稱權限
roles/claude.viewerClaude Viewer工作區資源上的所有 get 和 list 權限。
roles/claude.userClaude Userroles/claude.viewer 中的所有權限，加上工作區資源上的所有其他權限。
例如 messages.create、messages.countTokens 和 environments.processWork。
roles/claude.adminClaude Adminroles/claude.user 中的所有權限，加上在您的 Anthropic 組織上檢查的權限。
例如 externalKeys.* 和 usageAnalytics.list。

在下列表格中，Admin、User 和 Viewer 分別代表這三個角色。

權限

下列表格列出涵蓋 111 個路由的 68 項權限。

get 和 list 權限為唯讀權限。

除非章節中另有說明，否則每個路由的稽核記錄類型皆為 Data Access。

roles/claude.viewer 無法傳送訊息或計算 token。傳送訊息需要 messages.create。計算 token 需要 messages.countTokens。

下列表格中的某些路由可能無法供您的組織使用。若要查看可用的功能，請參閱功能支援。

訊息

權限角色授權的路由
messages.createAdmin, UserPOST /v1/messages
messages.countTokensAdmin, UserPOST /v1/messages/count_tokens

訊息批次

權限角色授權的路由
messageBatches.createAdmin, UserPOST /v1/messages/batches
messageBatches.getAdmin, User, ViewerGET /v1/messages/batches/{message_batch_id}
GET /v1/messages/batches/{message_batch_id}/results
messageBatches.listAdmin, User, ViewerGET /v1/messages/batches
messageBatches.deleteAdmin, UserDELETE /v1/messages/batches/{message_batch_id}
messageBatches.cancelAdmin, UserPOST /v1/messages/batches/{message_batch_id}/cancel

roles/claude.viewer 可以讀取批次結果。messageBatches.get 同時授權讀取批次的中繼資料以及下載其結果。

模型

權限角色授權的路由
models.getAdmin, User, ViewerGET /v1/models/{model_id}
models.listAdmin, User, ViewerGET /v1/models

檔案

權限角色授權的路由
files.createAdmin, UserPOST /v1/files
files.getAdmin, User, ViewerGET /v1/files/{file_id}
GET /v1/files/{file_id}/content
files.listAdmin, User, ViewerGET /v1/files
files.deleteAdmin, UserDELETE /v1/files/{file_id}

roles/claude.viewer 可以下載檔案。files.get 同時授權讀取檔案的中繼資料以及下載其內容。

技能

權限角色授權的路由
skills.createAdmin, UserPOST /v1/skills
skills.getAdmin, User, ViewerGET /v1/skills/{skill_id}
GET /v1/skills/{skill_id}/versions
GET /v1/skills/{skill_id}/versions/{version}
GET /v1/skills/{skill_id}/versions/{version}/content
skills.listAdmin, User, ViewerGET /v1/skills
skills.updateAdmin, UserPOST /v1/skills/{skill_id}/versions
DELETE /v1/skills/{skill_id}/versions/{version}
skills.deleteAdmin, UserDELETE /v1/skills/{skill_id}

建立或刪除技能版本需要 skills.update，而非 skills.create 或 skills.delete。

代理

權限角色授權的路由
agents.createAdmin, UserPOST /v1/agents
agents.getAdmin, User, ViewerGET /v1/agents/{agent_id}
GET /v1/agents/{agent_id}/versions
agents.listAdmin, User, ViewerGET /v1/agents
agents.updateAdmin, UserPOST /v1/agents/{agent_id}
agents.archiveAdmin, UserPOST /v1/agents/{agent_id}/archive

您可以封存代理，但無法刪除代理。

工作階段

權限角色授權的路由
sessions.createAdmin, UserPOST /v1/sessions
sessions.getAdmin, User, ViewerGET /v1/sessions/{session_id}
GET /v1/sessions/{session_id}/events
GET /v1/sessions/{session_id}/events/stream
GET /v1/sessions/{session_id}/resources
GET /v1/sessions/{session_id}/resources/{resource_id}
GET /v1/sessions/{session_id}/threads
GET /v1/sessions/{session_id}/threads/{thread_id}
GET /v1/sessions/{session_id}/threads/{thread_id}/events
GET /v1/sessions/{session_id}/threads/{thread_id}/stream
sessions.listAdmin, User, ViewerGET /v1/sessions
sessions.updateAdmin, UserPOST /v1/sessions/{session_id}
POST /v1/sessions/{session_id}/events
POST /v1/sessions/{session_id}/resources
POST /v1/sessions/{session_id}/resources/{resource_id}
DELETE /v1/sessions/{session_id}/resources/{resource_id}
sessions.archiveAdmin, UserPOST /v1/sessions/{session_id}/archive
POST /v1/sessions/{session_id}/threads/{thread_id}/archive
sessions.deleteAdmin, UserDELETE /v1/sessions/{session_id}

sessions.get 授權讀取工作階段、其事件歷程記錄與事件串流、其資源以及其執行緒。因此，roles/claude.viewer 可以讀取每個工作階段的完整事件歷程記錄。

其他工作階段操作需要下列權限：

  • 傳送事件：sessions.update
  • 新增、變更或移除工作階段資源：sessions.update
  • 封存執行緒：sessions.archive

環境

權限角色授權的路由
environments.createAdmin, UserPOST /v1/environments
environments.getAdmin, User, ViewerGET /v1/environments/{environment_id}
GET /v1/environments/{environment_id}/work
GET /v1/environments/{environment_id}/work/stats
GET /v1/environments/{environment_id}/work/{work_id}
environments.listAdmin, User, ViewerGET /v1/environments
environments.updateAdmin, UserPOST /v1/environments/{environment_id}
environments.archiveAdmin, UserPOST /v1/environments/{environment_id}/archive
environments.deleteAdmin, UserDELETE /v1/environments/{environment_id}
environments.processWorkAdmin, UserGET /v1/environments/{environment_id}/work/poll
POST /v1/environments/{environment_id}/work/{work_id}
POST /v1/environments/{environment_id}/work/{work_id}/ack
POST /v1/environments/{environment_id}/work/{work_id}/heartbeat
POST /v1/environments/{environment_id}/work/{work_id}/stop

roles/claude.user 和 roles/claude.admin 包含自行託管沙箱的工作程序所需的所有權限。environments.processWork 授權下列工作程序動作：

  • 輪詢工作
  • 確認工作項目
  • 傳送工作項目的心跳訊號
  • 停止工作項目
  • 更新工作項目

此權限與 environments.update 是分開的。讀取工作佇列及其統計資料只需要 environments.get。

除了 environments.processWork 之外，工作程序還需要其他權限才能執行工作階段，例如用於讀取工作階段及其事件的 sessions.get、用於傳送工具結果的 sessions.update，以及用於下載代理技能的 skills.get。

保管庫

Google Cloud 會將這些路由記錄在 Admin Activity 稽核記錄中，但 vaults.verify 的路由除外，其稽核記錄類型為 Data Access。

權限角色授權的路由
vaults.createAdmin, UserPOST /v1/vaults
vaults.getAdmin, User, ViewerGET /v1/vaults/{vault_id}
GET /v1/vaults/{vault_id}/credentials
GET /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.listAdmin, User, ViewerGET /v1/vaults
vaults.updateAdmin, UserPOST /v1/vaults/{vault_id}
POST /v1/vaults/{vault_id}/credentials
POST /v1/vaults/{vault_id}/credentials/{credential_id}
DELETE /v1/vaults/{vault_id}/credentials/{credential_id}
vaults.archiveAdmin, UserPOST /v1/vaults/{vault_id}/archive
POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive
vaults.deleteAdmin, UserDELETE /v1/vaults/{vault_id}
vaults.verifyAdmin, UserPOST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate

憑證操作需要下列權限：

  • 建立、變更或刪除憑證：vaults.update
  • 封存憑證：vaults.archive
  • 讀取憑證：vaults.get
  • 檢查已儲存的 MCP OAuth 憑證：vaults.verify

透過 vaults.get，roles/claude.viewer 可以列出保管庫的憑證。Claude Models on Google Cloud (Anthropic managed) 絕不會傳回憑證的機密欄位。如需了解更多資訊，請參閱使用保管庫進行驗證。

記憶儲存區

權限角色授權的路由
memoryStores.createAdmin, UserPOST /v1/memory_stores
memoryStores.getAdmin, User, ViewerGET /v1/memory_stores/{memory_store_id}
GET /v1/memory_stores/{memory_store_id}/memories
GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}
GET /v1/memory_stores/{memory_store_id}/memory_versions
GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}
memoryStores.listAdmin, User, ViewerGET /v1/memory_stores
memoryStores.updateAdmin, UserPOST /v1/memory_stores/{memory_store_id}
POST /v1/memory_stores/{memory_store_id}/memories
POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}
DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}
POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact
memoryStores.archiveAdmin, UserPOST /v1/memory_stores/{memory_store_id}/archive
memoryStores.deleteAdmin, UserDELETE /v1/memory_stores/{memory_store_id}

記憶儲存區操作需要下列權限：

  • 讀取儲存區、其記憶或其版本歷程記錄：memoryStores.get
  • 建立、變更或刪除記憶：memoryStores.update
  • 遮蔽記憶版本：memoryStores.update

部署

權限角色授權的路由
deployments.createAdmin, UserPOST /v1/deployments
deployments.getAdmin, User, ViewerGET /v1/deployment_runs
GET /v1/deployment_runs/{deployment_run_id}
GET /v1/deployments/{deployment_id}
deployments.listAdmin, User, ViewerGET /v1/deployments
deployments.updateAdmin, UserPOST /v1/deployments/{deployment_id}
deployments.archiveAdmin, UserPOST /v1/deployments/{deployment_id}/archive
deployments.runAdmin, UserPOST /v1/deployments/{deployment_id}/run
deployments.pauseAdmin, UserPOST /v1/deployments/{deployment_id}/pause
deployments.unpauseAdmin, UserPOST /v1/deployments/{deployment_id}/unpause

讀取部署執行需要 deployments.get。

Dreams

權限角色授權的路由
dreams.createAdmin, UserPOST /v1/dreams
dreams.getAdmin, User, ViewerGET /v1/dreams/{dream_id}
dreams.listAdmin, User, ViewerGET /v1/dreams
dreams.archiveAdmin, UserPOST /v1/dreams/{dream_id}/archive
dreams.cancelAdmin, UserPOST /v1/dreams/{dream_id}/cancel

Dreams 是研究預覽功能。若要申請存取權，請參閱 Dreams。

加密金鑰

Google Cloud 會將這些路由記錄在 Admin Activity 稽核記錄中。

權限角色授權的路由
externalKeys.createAdminPOST /v1/organizations/external_keys
externalKeys.getAdminGET /v1/organizations/external_keys/{external_key_id}
externalKeys.listAdminGET /v1/organizations/external_keys
externalKeys.updateAdminPOST /v1/organizations/external_keys/{external_key_id}
externalKeys.deleteAdminDELETE /v1/organizations/external_keys/{external_key_id}

這些權限用於管理您組織的加密金鑰註冊。在三個預先定義的角色中，只有 roles/claude.admin 包含這些權限。

使用量報告

權限角色授權的路由
usageAnalytics.listAdminGET /v1/organizations/usage_report/messages

在三個預先定義的角色中，只有 roles/claude.admin 包含 usageAnalytics.list。

另請參閱

Was this page helpful?