---
title: Claude Models on Google Cloud (Anthropic managed) 的 IAM 權限
url: https://platform.claude.com/docs/zh-TW/api/claude-models-on-google-cloud-anthropic-managed-iam-permissions
description: 查詢 Claude Models on Google Cloud (Anthropic managed) 的 Google Cloud IAM 權限、預先定義的角色以及稽核記錄類型。
---

Claude Models on Google Cloud (Anthropic managed) 使用 Google Cloud 的「Identity and Access Management」（身分與存取管理），即 IAM，進行存取控制。每個 API 路由都需要 `claude.googleapis.com` 服務中的一項權限。如果呼叫者不具備該權限，Google Cloud 會傳回 HTTP 403 錯誤。三個「predefined roles」（預先定義的角色）將這些權限組合在一起。如需設定與驗證的相關資訊，請參閱 [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/zh-TW/build-with-claude/claude-models-on-google-cloud/anthropic-managed)。

## 服務詳細資訊

下表說明 Claude Models on Google Cloud (Anthropic managed) 的 Google Cloud 服務。

| 屬性                      | 值                                                                                                                                                                                                |
| ----------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| **服務**                  | `claude.googleapis.com`                                                                                                                                                                          |
| **檢查權限的位置**             | 工作區或 Anthropic 組織                                                                                                                                                                                |
| **「Audit log」（稽核記錄）類型** | Data Access、Admin Activity<br />若要開啟 Data Access 記錄，請參閱[監控與記錄](https://platform.claude.com/docs/zh-TW/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)。 |

請在 Google Cloud 專案上授予角色。如需了解專案、組織與工作區之間的關係，請參閱[工作區](https://platform.claude.com/docs/zh-TW/build-with-claude/claude-models-on-google-cloud/anthropic-managed#workspaces)。

本頁中的權限採用簡短形式 `resource.verb`，例如 `messages.create`。

## 預先定義的角色

下表列出 Claude Models on Google Cloud (Anthropic managed) 的預先定義角色。

| 角色                    | 顯示名稱          | 權限                                                                                                                           |
| --------------------- | ------------- | ---------------------------------------------------------------------------------------------------------------------------- |
| `roles/claude.viewer` | Claude Viewer | 工作區資源上的所有 `get` 和 `list` 權限。                                                                                                 |
| `roles/claude.user`   | Claude User   | `roles/claude.viewer` 中的所有權限，加上工作區資源上的所有其他權限。<br />例如 `messages.create`、`messages.countTokens` 和 `environments.processWork`。 |
| `roles/claude.admin`  | Claude Admin  | `roles/claude.user` 中的所有權限，加上在您的 Anthropic 組織上檢查的權限。<br />例如 `externalKeys.*` 和 `usageAnalytics.list`。                       |

在下列表格中，**Admin**、**User** 和 **Viewer** 分別代表這三個角色。

## 權限

下列表格列出涵蓋 111 個路由的 68 項權限。

`get` 和 `list` 權限為唯讀權限。

除非章節中另有說明，否則每個路由的稽核記錄類型皆為 Data Access。

`roles/claude.viewer` 無法傳送訊息或計算 token。傳送訊息需要 `messages.create`。計算 token 需要 `messages.countTokens`。

下列表格中的某些路由可能無法供您的組織使用。若要查看可用的功能，請參閱[功能支援](https://platform.claude.com/docs/zh-TW/build-with-claude/claude-models-on-google-cloud/anthropic-managed#feature-support)。

### 訊息

| 權限                     | 角色          | 授權的路由                            |
| ---------------------- | ----------- | -------------------------------- |
| `messages.create`      | Admin, User | `POST /v1/messages`              |
| `messages.countTokens` | Admin, User | `POST /v1/messages/count_tokens` |

### 訊息批次

| 權限                      | 角色                  | 授權的路由                                                                                                    |
| ----------------------- | ------------------- | -------------------------------------------------------------------------------------------------------- |
| `messageBatches.create` | Admin, User         | `POST /v1/messages/batches`                                                                              |
| `messageBatches.get`    | Admin, User, Viewer | `GET /v1/messages/batches/{message_batch_id}`<br />`GET /v1/messages/batches/{message_batch_id}/results` |
| `messageBatches.list`   | Admin, User, Viewer | `GET /v1/messages/batches`                                                                               |
| `messageBatches.delete` | Admin, User         | `DELETE /v1/messages/batches/{message_batch_id}`                                                         |
| `messageBatches.cancel` | Admin, User         | `POST /v1/messages/batches/{message_batch_id}/cancel`                                                    |

`roles/claude.viewer` 可以讀取批次結果。`messageBatches.get` 同時授權讀取批次的中繼資料以及下載其結果。

### 模型

| 權限            | 角色                  | 授權的路由                       |
| ------------- | ------------------- | --------------------------- |
| `models.get`  | Admin, User, Viewer | `GET /v1/models/{model_id}` |
| `models.list` | Admin, User, Viewer | `GET /v1/models`            |

### 檔案

| 權限             | 角色                  | 授權的路由                                                            |
| -------------- | ------------------- | ---------------------------------------------------------------- |
| `files.create` | Admin, User         | `POST /v1/files`                                                 |
| `files.get`    | Admin, User, Viewer | `GET /v1/files/{file_id}`<br />`GET /v1/files/{file_id}/content` |
| `files.list`   | Admin, User, Viewer | `GET /v1/files`                                                  |
| `files.delete` | Admin, User         | `DELETE /v1/files/{file_id}`                                     |

`roles/claude.viewer` 可以下載檔案。`files.get` 同時授權讀取檔案的中繼資料以及下載其內容。

### 技能

| 權限              | 角色                  | 授權的路由                                                                                                                                                                                 |
| --------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `skills.create` | Admin, User         | `POST /v1/skills`                                                                                                                                                                     |
| `skills.get`    | Admin, User, Viewer | `GET /v1/skills/{skill_id}`<br />`GET /v1/skills/{skill_id}/versions`<br />`GET /v1/skills/{skill_id}/versions/{version}`<br />`GET /v1/skills/{skill_id}/versions/{version}/content` |
| `skills.list`   | Admin, User, Viewer | `GET /v1/skills`                                                                                                                                                                      |
| `skills.update` | Admin, User         | `POST /v1/skills/{skill_id}/versions`<br />`DELETE /v1/skills/{skill_id}/versions/{version}`                                                                                          |
| `skills.delete` | Admin, User         | `DELETE /v1/skills/{skill_id}`                                                                                                                                                        |

建立或刪除技能版本需要 `skills.update`，而非 `skills.create` 或 `skills.delete`。

### 代理

| 權限               | 角色                  | 授權的路由                                                                 |
| ---------------- | ------------------- | --------------------------------------------------------------------- |
| `agents.create`  | Admin, User         | `POST /v1/agents`                                                     |
| `agents.get`     | Admin, User, Viewer | `GET /v1/agents/{agent_id}`<br />`GET /v1/agents/{agent_id}/versions` |
| `agents.list`    | Admin, User, Viewer | `GET /v1/agents`                                                      |
| `agents.update`  | Admin, User         | `POST /v1/agents/{agent_id}`                                          |
| `agents.archive` | Admin, User         | `POST /v1/agents/{agent_id}/archive`                                  |

您可以封存代理，但無法刪除代理。

### 工作階段

| 權限                 | 角色                  | 授權的路由                                                                                                                                                                                                                                                                                                                                                                                                                                                                            |
| ------------------ | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `sessions.create`  | Admin, User         | `POST /v1/sessions`                                                                                                                                                                                                                                                                                                                                                                                                                                                              |
| `sessions.get`     | Admin, User, Viewer | `GET /v1/sessions/{session_id}`<br />`GET /v1/sessions/{session_id}/events`<br />`GET /v1/sessions/{session_id}/events/stream`<br />`GET /v1/sessions/{session_id}/resources`<br />`GET /v1/sessions/{session_id}/resources/{resource_id}`<br />`GET /v1/sessions/{session_id}/threads`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}/events`<br />`GET /v1/sessions/{session_id}/threads/{thread_id}/stream` |
| `sessions.list`    | Admin, User, Viewer | `GET /v1/sessions`                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
| `sessions.update`  | Admin, User         | `POST /v1/sessions/{session_id}`<br />`POST /v1/sessions/{session_id}/events`<br />`POST /v1/sessions/{session_id}/resources`<br />`POST /v1/sessions/{session_id}/resources/{resource_id}`<br />`DELETE /v1/sessions/{session_id}/resources/{resource_id}`                                                                                                                                                                                                                      |
| `sessions.archive` | Admin, User         | `POST /v1/sessions/{session_id}/archive`<br />`POST /v1/sessions/{session_id}/threads/{thread_id}/archive`                                                                                                                                                                                                                                                                                                                                                                       |
| `sessions.delete`  | Admin, User         | `DELETE /v1/sessions/{session_id}`                                                                                                                                                                                                                                                                                                                                                                                                                                               |

`sessions.get` 授權讀取工作階段、其事件歷程記錄與事件串流、其資源以及其執行緒。因此，`roles/claude.viewer` 可以讀取每個工作階段的完整事件歷程記錄。

其他工作階段操作需要下列權限：

* 傳送事件：`sessions.update`
* 新增、變更或移除工作階段資源：`sessions.update`
* 封存執行緒：`sessions.archive`

### 環境

| 權限                         | 角色                  | 授權的路由                                                                                                                                                                                                                                                                                                                    |
| -------------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `environments.create`      | Admin, User         | `POST /v1/environments`                                                                                                                                                                                                                                                                                                  |
| `environments.get`         | Admin, User, Viewer | `GET /v1/environments/{environment_id}`<br />`GET /v1/environments/{environment_id}/work`<br />`GET /v1/environments/{environment_id}/work/stats`<br />`GET /v1/environments/{environment_id}/work/{work_id}`                                                                                                            |
| `environments.list`        | Admin, User, Viewer | `GET /v1/environments`                                                                                                                                                                                                                                                                                                   |
| `environments.update`      | Admin, User         | `POST /v1/environments/{environment_id}`                                                                                                                                                                                                                                                                                 |
| `environments.archive`     | Admin, User         | `POST /v1/environments/{environment_id}/archive`                                                                                                                                                                                                                                                                         |
| `environments.delete`      | Admin, User         | `DELETE /v1/environments/{environment_id}`                                                                                                                                                                                                                                                                               |
| `environments.processWork` | Admin, User         | `GET /v1/environments/{environment_id}/work/poll`<br />`POST /v1/environments/{environment_id}/work/{work_id}`<br />`POST /v1/environments/{environment_id}/work/{work_id}/ack`<br />`POST /v1/environments/{environment_id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{environment_id}/work/{work_id}/stop` |

`roles/claude.user` 和 `roles/claude.admin` 包含[自行託管沙箱](https://platform.claude.com/docs/zh-TW/managed-agents/self-hosted-sandboxes)的工作程序所需的所有權限。`environments.processWork` 授權下列工作程序動作：

* 輪詢工作
* 確認工作項目
* 傳送工作項目的心跳訊號
* 停止工作項目
* 更新工作項目

此權限與 `environments.update` 是分開的。讀取工作佇列及其統計資料只需要 `environments.get`。

除了 `environments.processWork` 之外，工作程序還需要其他權限才能執行工作階段，例如用於讀取工作階段及其事件的 `sessions.get`、用於傳送工具結果的 `sessions.update`，以及用於下載代理技能的 `skills.get`。

### 保管庫

Google Cloud 會將這些路由記錄在 Admin Activity 稽核記錄中，但 `vaults.verify` 的路由除外，其稽核記錄類型為 Data Access。

| 權限               | 角色                  | 授權的路由                                                                                                                                                                                                    |
| ---------------- | ------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `vaults.create`  | Admin, User         | `POST /v1/vaults`                                                                                                                                                                                        |
| `vaults.get`     | Admin, User, Viewer | `GET /v1/vaults/{vault_id}`<br />`GET /v1/vaults/{vault_id}/credentials`<br />`GET /v1/vaults/{vault_id}/credentials/{credential_id}`                                                                    |
| `vaults.list`    | Admin, User, Viewer | `GET /v1/vaults`                                                                                                                                                                                         |
| `vaults.update`  | Admin, User         | `POST /v1/vaults/{vault_id}`<br />`POST /v1/vaults/{vault_id}/credentials`<br />`POST /v1/vaults/{vault_id}/credentials/{credential_id}`<br />`DELETE /v1/vaults/{vault_id}/credentials/{credential_id}` |
| `vaults.archive` | Admin, User         | `POST /v1/vaults/{vault_id}/archive`<br />`POST /v1/vaults/{vault_id}/credentials/{credential_id}/archive`                                                                                               |
| `vaults.delete`  | Admin, User         | `DELETE /v1/vaults/{vault_id}`                                                                                                                                                                           |
| `vaults.verify`  | Admin, User         | `POST /v1/vaults/{vault_id}/credentials/{credential_id}/mcp_oauth_validate`                                                                                                                              |

憑證操作需要下列權限：

* 建立、變更或刪除憑證：`vaults.update`
* 封存憑證：`vaults.archive`
* 讀取憑證：`vaults.get`
* 檢查已儲存的 MCP OAuth 憑證：`vaults.verify`

透過 `vaults.get`，`roles/claude.viewer` 可以列出保管庫的憑證。Claude Models on Google Cloud (Anthropic managed) 絕不會傳回憑證的機密欄位。如需了解更多資訊，請參閱[使用保管庫進行驗證](https://platform.claude.com/docs/zh-TW/managed-agents/vaults)。

### 記憶儲存區

| 權限                     | 角色                  | 授權的路由                                                                                                                                                                                                                                                                                                                                      |
| ---------------------- | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `memoryStores.create`  | Admin, User         | `POST /v1/memory_stores`                                                                                                                                                                                                                                                                                                                   |
| `memoryStores.get`     | Admin, User, Viewer | `GET /v1/memory_stores/{memory_store_id}`<br />`GET /v1/memory_stores/{memory_store_id}/memories`<br />`GET /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`GET /v1/memory_stores/{memory_store_id}/memory_versions`<br />`GET /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}`                    |
| `memoryStores.list`    | Admin, User, Viewer | `GET /v1/memory_stores`                                                                                                                                                                                                                                                                                                                    |
| `memoryStores.update`  | Admin, User         | `POST /v1/memory_stores/{memory_store_id}`<br />`POST /v1/memory_stores/{memory_store_id}/memories`<br />`POST /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`DELETE /v1/memory_stores/{memory_store_id}/memories/{memory_id}`<br />`POST /v1/memory_stores/{memory_store_id}/memory_versions/{memory_version_id}/redact` |
| `memoryStores.archive` | Admin, User         | `POST /v1/memory_stores/{memory_store_id}/archive`                                                                                                                                                                                                                                                                                         |
| `memoryStores.delete`  | Admin, User         | `DELETE /v1/memory_stores/{memory_store_id}`                                                                                                                                                                                                                                                                                               |

記憶儲存區操作需要下列權限：

* 讀取儲存區、其記憶或其版本歷程記錄：`memoryStores.get`
* 建立、變更或刪除記憶：`memoryStores.update`
* 遮蔽記憶版本：`memoryStores.update`

### 部署

| 權限                    | 角色                  | 授權的路由                                                                                                                   |
| --------------------- | ------------------- | ----------------------------------------------------------------------------------------------------------------------- |
| `deployments.create`  | Admin, User         | `POST /v1/deployments`                                                                                                  |
| `deployments.get`     | Admin, User, Viewer | `GET /v1/deployment_runs`<br />`GET /v1/deployment_runs/{deployment_run_id}`<br />`GET /v1/deployments/{deployment_id}` |
| `deployments.list`    | Admin, User, Viewer | `GET /v1/deployments`                                                                                                   |
| `deployments.update`  | Admin, User         | `POST /v1/deployments/{deployment_id}`                                                                                  |
| `deployments.archive` | Admin, User         | `POST /v1/deployments/{deployment_id}/archive`                                                                          |
| `deployments.run`     | Admin, User         | `POST /v1/deployments/{deployment_id}/run`                                                                              |
| `deployments.pause`   | Admin, User         | `POST /v1/deployments/{deployment_id}/pause`                                                                            |
| `deployments.unpause` | Admin, User         | `POST /v1/deployments/{deployment_id}/unpause`                                                                          |

讀取部署執行需要 `deployments.get`。

### Dreams

| 權限               | 角色                  | 授權的路由                                |
| ---------------- | ------------------- | ------------------------------------ |
| `dreams.create`  | Admin, User         | `POST /v1/dreams`                    |
| `dreams.get`     | Admin, User, Viewer | `GET /v1/dreams/{dream_id}`          |
| `dreams.list`    | Admin, User, Viewer | `GET /v1/dreams`                     |
| `dreams.archive` | Admin, User         | `POST /v1/dreams/{dream_id}/archive` |
| `dreams.cancel`  | Admin, User         | `POST /v1/dreams/{dream_id}/cancel`  |

Dreams 是研究預覽功能。若要申請存取權，請參閱 [Dreams](https://platform.claude.com/docs/zh-TW/managed-agents/dreams)。

### 加密金鑰

Google Cloud 會將這些路由記錄在 Admin Activity 稽核記錄中。

| 權限                    | 角色    | 授權的路由                                                      |
| --------------------- | ----- | ---------------------------------------------------------- |
| `externalKeys.create` | Admin | `POST /v1/organizations/external_keys`                     |
| `externalKeys.get`    | Admin | `GET /v1/organizations/external_keys/{external_key_id}`    |
| `externalKeys.list`   | Admin | `GET /v1/organizations/external_keys`                      |
| `externalKeys.update` | Admin | `POST /v1/organizations/external_keys/{external_key_id}`   |
| `externalKeys.delete` | Admin | `DELETE /v1/organizations/external_keys/{external_key_id}` |

這些權限用於管理您組織的加密金鑰註冊。在三個預先定義的角色中，只有 `roles/claude.admin` 包含這些權限。

### 使用量報告

| 權限                    | 角色    | 授權的路由                                         |
| --------------------- | ----- | --------------------------------------------- |
| `usageAnalytics.list` | Admin | `GET /v1/organizations/usage_report/messages` |

在三個預先定義的角色中，只有 `roles/claude.admin` 包含 `usageAnalytics.list`。

## 另請參閱

* [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/zh-TW/build-with-claude/claude-models-on-google-cloud/anthropic-managed)
* [IAM 角色](https://platform.claude.com/docs/zh-TW/build-with-claude/claude-models-on-google-cloud/anthropic-managed#iam-roles)
* [監控與記錄](https://platform.claude.com/docs/zh-TW/build-with-claude/claude-models-on-google-cloud/anthropic-managed#monitoring-and-logging)