> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cli/de/fur-devops-und-administratoren/manage/users-and-access.md).

# Benutzer, Gruppen und Zugriff verwalten

Benutzer, Gruppen, Rollen und Tresorzugriff von einem Terminal aus mit Devolutions CLI verwalten und sehen, welche Aufgaben jeder Workspace-Typ bietet.

Mit `devo admin` verwalten Sie die Personen und Berechtigungen Ihres Workspace von einem Terminal oder einem Skript aus: Benutzer auflisten, ein Konto aktualisieren, Gruppen organisieren und festlegen, wer einen Tresor öffnen kann. Die meisten dieser Aufgaben hängen vom Workspace-Typ ab, daher hat jede Tabelle auf dieser Seite eine Spalte WORKSPACE. Auf Devolutions Cloud und Devolutions Server stoppt ein Befehl, den der Workspace nicht anbietet, mit `operationNotSupportedBySource` und nennt den Typ, den Sie brauchen. Ein lokales Profil lehnt mit einem eigenen Fehlercode und einer Meldung ab, die den Grund erklärt.

## Bevor Sie beginnen

* Melden Sie sich mit einem Konto an, das Administratorrechte für den Workspace hat. Siehe [Bei Devolutions Cloud anmelden](/cli/de/anleitungen/connect/devolutions-cloud.md) oder [Bei Devolutions Server anmelden](/cli/de/anleitungen/connect/devolutions-server.md).
* Prüfen Sie mit `devo status`, welcher Workspace ausgewählt ist. Fügen Sie `--context <context-name>` zu einem Befehl hinzu, um ihn auf einem anderen auszuführen.
* Befehle, die etwas ändern, brauchen `--yes`. Ohne diese Option ändern sie nichts und stoppen mit `confirmationRequired`.
* Benutzer und Gruppen werden standardmäßig nach Name ausgewählt. Schreiben Sie `id:<value>` oder fügen Sie `--id` hinzu, um nach ID auszuwählen, und `email:<value>` oder `--email`, um einen Benutzer nach E-Mail auszuwählen. In `devo admin group members add` und `remove` sind die entsprechenden Optionen `--group-id`, `--user-id` und `--user-email`.

## Benutzer

<table><thead><tr><th width="230">AUFGABE</th><th>BEFEHL</th><th width="210">WORKSPACE</th></tr></thead><tbody><tr><td>Benutzer auflisten, einen Benutzer anzeigen</td><td><code>devo admin user list</code><br><code>devo admin user get "&#x3C;user>"</code></td><td>Devolutions Cloud, Devolutions Server, lokales Profil (nur Lesen, wenn das Profil es zulässt)</td></tr><tr><td>Die Gruppen eines Benutzers anzeigen</td><td><code>devo admin user groups list "&#x3C;user>"</code></td><td>Devolutions Cloud, lokales Profil (nur Lesen, wenn das Profil es zulässt)</td></tr><tr><td>Einen Benutzer erstellen</td><td><code>devo admin user create "&#x3C;login>" --email &#x3C;email> --password-env &#x3C;VARIABLE_NAME> --yes</code></td><td>Devolutions Server</td></tr><tr><td>Einen Benutzer aktualisieren</td><td><code>devo admin user update "&#x3C;user>" --enabled false --yes</code></td><td>Devolutions Cloud, Devolutions Server</td></tr><tr><td>Einen Benutzer löschen</td><td><code>devo admin user delete "&#x3C;user>" --yes</code></td><td>Devolutions Cloud, Devolutions Server</td></tr></tbody></table>

Einige Optionen von `devo admin user update` gehören nur zu einem Workspace-Typ:

* **Nur Devolutions Cloud**: `--description`, `--locale`, `--workspace-access`, `--web-login` und `--user-vaults`.
* **Nur Devolutions Server**: `--first-name`, `--last-name`, `--user-type`, `--password-env`, `--password-file` und `--force-password-change`. Auf Devolutions Server ändern Sie den Namen eines Benutzers mit `--first-name` und `--last-name`: `--name` und `--display-name` werden nicht akzeptiert.

Sie können Optionen beider Typen nicht in einem Befehl kombinieren.

Auf Devolutions Cloud werden Benutzer, die aus dem Verzeichnis Ihrer Organisation synchronisiert wurden, von diesem Verzeichnis verwaltet. Devolutions CLI verweigert es, sie zu aktualisieren oder zu löschen.

{% hint style="info" %}
Das Passwort eines neuen Benutzers wird aus einer Umgebungsvariable (`--password-env`) oder einer Datei (`--password-file`) gelesen, nie von der Befehlszeile, damit es nicht im Verlauf Ihrer Shell landet.
{% endhint %}

## Gruppen

<table><thead><tr><th width="230">AUFGABE</th><th>BEFEHL</th><th width="210">WORKSPACE</th></tr></thead><tbody><tr><td>Gruppen auflisten, eine Gruppe und ihre Mitglieder anzeigen</td><td><code>devo admin group list</code><br><code>devo admin group get "&#x3C;group>"</code><br><code>devo admin group members list "&#x3C;group>"</code></td><td>Devolutions Cloud, lokales Profil (nur Lesen, wenn das Profil es zulässt)</td></tr><tr><td>Eine Gruppe erstellen, umbenennen oder löschen</td><td><code>devo admin group create "&#x3C;group>" --yes</code><br><code>devo admin group update "&#x3C;group>" --name "&#x3C;new-name>" --yes</code><br><code>devo admin group delete "&#x3C;group>" --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Ein Mitglied hinzufügen oder entfernen</td><td><code>devo admin group members add "&#x3C;group>" "&#x3C;user>" --yes</code><br><code>devo admin group members remove "&#x3C;group>" "&#x3C;user>" --yes</code></td><td>Devolutions Cloud</td></tr></tbody></table>

Das Löschen einer Gruppe entfernt auch ihre Zuweisungen. Gruppen, die aus dem Verzeichnis Ihrer Organisation synchronisiert sind, können nicht gelöscht werden.

## Rollen und Tresorzugriff

<table><thead><tr><th width="230">AUFGABE</th><th>BEFEHL</th><th width="210">WORKSPACE</th></tr></thead><tbody><tr><td>Rollen auflisten</td><td><code>devo admin role list --scope vault</code> (or <code>--scope entry</code>)<br><code>devo admin role get &#x3C;role-id></code></td><td>Devolutions Cloud</td></tr><tr><td>Sehen, wer einen Tresor öffnen kann</td><td><code>devo vault access list "&#x3C;vault>"</code></td><td>Devolutions Cloud</td></tr><tr><td>Einem Benutzer oder einer Gruppe Zugriff auf einen Tresor geben</td><td><code>devo vault access grant "&#x3C;vault>" --user "&#x3C;user>" --role Readers --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Den Zugriff eines Benutzers oder einer Gruppe entfernen</td><td><code>devo vault access revoke "&#x3C;vault>" --group "&#x3C;group>" --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Eine Rolle für einen Eintrag anzeigen, vergeben oder entfernen</td><td><code>devo entry access list --vault-id &#x3C;vault-id> --entry-id &#x3C;entry-id></code><br><code>devo entry access get --vault-id &#x3C;vault-id> --entry-id &#x3C;entry-id> --user-id &#x3C;user-id></code><br><code>devo entry access grant --vault-id &#x3C;vault-id> --entry-id &#x3C;entry-id> --user-id &#x3C;user-id> --role-id &#x3C;role-id> --yes</code><br><code>devo entry access revoke --vault-id &#x3C;vault-id> --entry-id &#x3C;entry-id> --group-id &#x3C;group-id> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Die direkten Berechtigungen eines Eintrags anzeigen</td><td><code>devo entry permission get "&#x3C;entry>"</code></td><td>Devolutions Cloud, lokales Profil (wenn das Profil es zulässt)</td></tr><tr><td>Berechtigungssätze auflisten</td><td><code>devo admin access permission-sets</code></td><td>Devolutions Server</td></tr></tbody></table>

`--role` akzeptiert einen Rollennamen oder eine ID: `Restricted`, `Readers`, `PrivilegedReaders`, `Operators`, `PrivilegedOperators`, `Contributors` oder `VaultOwners`. Jede Vergabe oder jeder Entzug gilt für einen einzelnen Benutzer (`--user`) oder eine einzelne Gruppe (`--group`).

Bei einem lokalen Profil sind `devo admin role list` und `devo admin access permission-sets` nicht verfügbar: Rollenlisten sind für Devolutions Cloud und Berechtigungssätze für Devolutions Server.

## Nur Devolutions Cloud

<table><thead><tr><th width="230">AUFGABE</th><th>BEFEHL</th><th width="210">WORKSPACE</th></tr></thead><tbody><tr><td>Einladungen prüfen und bereinigen</td><td><code>devo admin invitation list</code><br><code>devo admin invitation get --invitation-id &#x3C;invitation-id></code><br><code>devo admin invitation remove-email --id &#x3C;invitation-id> --email &#x3C;email> --yes</code><br><code>devo admin invitation delete --id &#x3C;invitation-id> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Systemberechtigungen verwalten</td><td><code>devo admin access system list</code><br><code>devo admin access system get --user-id &#x3C;user-id></code><br><code>devo admin access system grant --user-id &#x3C;user-id> --permission &#x3C;permission> --yes</code><br><code>devo admin access system revoke --group-id &#x3C;group-id> --permission &#x3C;permission> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Systemtresor-Rollen verwalten</td><td><code>devo admin access system-vault list</code><br><code>devo admin access system-vault get --user-id &#x3C;user-id></code><br><code>devo admin access system-vault grant --user-id &#x3C;user-id> --role-id &#x3C;role-id> --yes</code><br><code>devo admin access system-vault revoke --group-id &#x3C;group-id> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Devolutions Gateway-Instanzen prüfen oder entfernen</td><td><code>devo admin gateway list</code><br><code>devo admin gateway get --gateway-id &#x3C;gateway-id></code><br><code>devo admin gateway settings get</code><br><code>devo admin gateway delete --gateway-id &#x3C;gateway-id> --yes</code><br><br>Die Ergebnisse enthalten nie die Geheimnisse der Gateways.</td><td>Devolutions Cloud</td></tr><tr><td>Den Organisationsbesitzer anzeigen oder ändern</td><td><code>devo admin owner get</code><br><code>devo admin owner set --user-id &#x3C;user-id> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Systemeinstellungen prüfen oder ändern</td><td><code>devo admin settings get</code><br><code>devo admin settings update --force-two-factor-authentication --yes</code></td><td>Devolutions Cloud</td></tr></tbody></table>

{% hint style="danger" %}
`devo admin access system revoke` ohne `--permission` entfernt **alle** Systemberechtigungen des Benutzers oder der Gruppe. `devo admin owner set` übergibt die Organisation an einen anderen Benutzer. Prüfen Sie die IDs, bevor Sie `--yes` hinzufügen.
{% endhint %}

## Nur Devolutions Server

<table><thead><tr><th width="230">AUFGABE</th><th>BEFEHL</th><th width="210">WORKSPACE</th></tr></thead><tbody><tr><td>Gelöschte Benutzer wiederherstellen oder endgültig löschen</td><td><code>devo admin user trash list</code><br><code>devo admin user trash restore id:&#x3C;user-id> --yes</code><br><code>devo admin user trash purge id:&#x3C;user-id> --yes</code></td><td>Devolutions Server</td></tr><tr><td>Die Zwei-Faktor-Methode eines Benutzers vorkonfigurieren</td><td><code>devo admin user 2fa set --user-security-id &#x3C;id> --type google-authenticator --yes</code><br><code>devo admin user 2fa clear --user-security-id &#x3C;id> --yes</code></td><td>Devolutions Server</td></tr><tr><td>Active Directory-Domänen prüfen</td><td><code>devo admin domain list</code><br><code>devo admin domain users --domain &#x3C;domain-name></code></td><td>Devolutions Server</td></tr><tr><td>Authentifizierungseinstellungen prüfen oder ändern</td><td><code>devo admin settings auth-modes get</code><br><code>devo admin settings auth-modes set --domain true --azure-ad false --yes</code><br><code>devo admin settings two-factor get</code><br><br><code>auth-modes set</code> schaltet Domänen-, Azure AD- und benutzerdefinierte Authentifizierung (<code>--custom</code>) mit <code>true</code> oder <code>false</code> ein oder aus. Optionen, die Sie weglassen, behalten ihren Wert. Devolutions CLI lehnt eine Änderung ab, die keinen primären Authentifizierungsmodus eingeschaltet lassen würde.</td><td>Devolutions Server</td></tr><tr><td>Lizenzen prüfen und registrieren</td><td><code>devo admin license list</code><br><code>devo admin license users list --serial-env &#x3C;VARIABLE_NAME></code><br><code>devo admin license register --serial-env &#x3C;VARIABLE_NAME> --yes</code><br><code>devo admin license trial start --yes</code><br><br>Die Seriennummer oder das Lizenz-JWT kommt aus einer Umgebungsvariable (<code>--serial-env</code>) oder einer Datei (<code>--serial-file</code>), nie von der Befehlszeile. <code>license list</code> zeigt Seriennummern teilweise verborgen. Fügen Sie <code>--replace</code> hinzu, um die vorhandenen Lizenzen zu ersetzen, und <code>--auto-assign true</code>, um unterstützte Lizenzen neuen Benutzern automatisch zuzuweisen.</td><td>Devolutions Server</td></tr><tr><td>Privilegierten Zugriff prüfen</td><td><code>devo admin pam account list</code><br><code>devo admin pam provider list</code><br><code>devo admin pam provider get --provider-id &#x3C;provider-id></code><br><br><code>pam account list</code> gibt standardmäßig 100 Konten pro Seite zurück (<code>--page</code>, <code>--page-size</code> bis 500), optional für einen Ordner (<code>--vault-id</code>). Die Ergebnisse enthalten keine Passwörter.</td><td>Devolutions Server</td></tr><tr><td>Sperrlisten von Devolutions Gateway veröffentlichen</td><td><code>devo admin gateway revocation-list publish --yes</code><br><br>Fügen Sie <code>--gateway-id &#x3C;gateway-id></code> hinzu, um die Liste nur eines Gateway zu veröffentlichen.</td><td>Devolutions Server</td></tr></tbody></table>

Devolutions Server wählt gelöschte Benutzer nur nach ID, und `devo admin user trash list` nimmt dort keinen Namensfilter. `devo admin domain list` zeigt nicht die Bindungsgeheimnisse der Domäne.

{% hint style="danger" %}
`devo admin user trash purge` löscht den Benutzer dauerhaft. Das kann nicht rückgängig gemacht werden.
{% endhint %}

## Gut zu wissen

* Jeder `devo admin`-Befehl, mit allen seinen Optionen, steht in der [Befehlsreferenz](/cli/de/referenz/commands.md).
* Fügen Sie `--output json` hinzu, um die Ergebnisse an ein Skript zu geben. Siehe [Ergebnisse als JSON lesen](/cli/de/fur-devops-und-administratoren/automate/json-output.md).
* Ein Befehl sagt, dass der Workspace ihn nicht unterstützt? Siehe [Ein Befehl sagt, dass der Workspace ihn nicht unterstützt](/cli/de/hilfe/troubleshooting/not-supported.md).

## Weiter

* [Review activity logs](/cli/de/fur-devops-und-administratoren/manage/logs.md)
* [Manage vaults and entries](/cli/de/fur-devops-und-administratoren/manage/vaults-and-entries.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/cli/de/fur-devops-und-administratoren/manage/users-and-access.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.