> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cli/de/referenz/commands/secrets.md).

# Geheimnisbefehle

Jede Option der Befehle devo secret, devo secretspec und devo generate, mit Standardwerten, zulässigen Werten und den Regeln, die Devolutions CLI prüft.

Diese Seite listet jedes Argument und jede Option der Befehle, die Geheimnisse lesen, einsetzen und schreiben (`devo secret`), SecretSpec verbinden (`devo secretspec`) und Passwörter und Schlüssel erzeugen (`devo generate`). Eine Übersicht aller Befehle steht in [Befehle](/cli/de/referenz/commands.md). Für Hilfe Schritt für Schritt siehe [Geheimnisse verwenden, ohne sie preiszugeben](/cli/de/anleitungen/secrets.md), [Einen Befehl mit seinen Geheimnissen ausführen](/cli/de/anleitungen/secrets/run-with-secrets.md), [Geheimnisse in der aktuellen Shell verwenden](/cli/de/anleitungen/secrets/current-shell.md), [Eine Konfigurationsdatei aus einer Vorlage füllen](/cli/de/anleitungen/secrets/fill-a-template.md), [Ein Geheimnis aus einem Skript aktualisieren](/cli/de/anleitungen/secrets/update-a-secret.md), [Devolutions CLI mit SecretSpec verwenden](/cli/de/anleitungen/secrets/secretspec.md) und [Passwörter und SSH-Schlüssel erzeugen](/cli/de/anleitungen/generate.md).

Die Optionen, die jeder Befehl akzeptiert, etwa `--context`, `--source` oder `--output json`, stehen in [Globale Optionen](/cli/de/referenz/global-options.md). Die Syntax der `devo://`-Referenzen steht in [Syntax der Geheimnisreferenz](/cli/de/referenz/secret-references.md).

{% hint style="warning" %}
`devo secret read`, `devo secret get`, `devo secret inject` und `devo secret shell enter` übergeben Ihnen den Wert: Er erscheint im Terminal, in einer Datei oder in Ihrer Shell-Sitzung. `devo secret run` ist der einzige Befehl, der ihn aus Ihrem Terminal heraushält. Siehe [Was verborgen bleibt und was nicht](/cli/de/anleitungen/understand/security-model.md).
{% endhint %}

## devo secret run

Führt einen Befehl aus, bei dem Referenzen nur in seiner Umgebung aufgelöst werden. Aufgelöste Werte werden in der Ausgabe des Befehls durch `<concealed by Devolutions>` ersetzt, es sei denn, Sie fügen `--no-masking` hinzu.

**Workspace:** Alle Workspace-Typen

```bash
devo secret run [--env-ref <NAME>=<reference>]... [--env-file <path>] [--stdin-reference <reference>] [--timeout-seconds <seconds>] -- <command> [<arguments>]
devo secret run --manifest <path>
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>-- &#x3C;command> [&#x3C;arguments>]</code></td><td></td><td>Der auszuführende Befehl und seine Argumente, nach <code>--</code>. Erforderlich, sofern Sie nicht <code>--manifest</code> verwenden. Ein Argument, das eine Referenz ist, wird abgelehnt: Übergeben Sie Referenzen mit <code>--env-ref</code>, <code>--stdin-reference</code>, <code>--env-file</code> oder <code>--manifest</code>. Eine Referenz in einem längeren Argument, etwa <code>--password=devo://…</code>, wird nicht abgelehnt, aber auch nicht aufgelöst.</td></tr><tr><td><code>--env-ref &#x3C;NAME>=&#x3C;reference></code></td><td></td><td>Setzt den Wert einer Referenz in die Umgebungsvariable <code>NAME</code> des Befehls. Wiederholen Sie das für mehrere Variablen. Der Name darf nur Buchstaben, Ziffern und Unterstriche verwenden und darf nicht mit einer Ziffer beginnen. Der Wert muss eine genaue <code>devo://</code>-Referenz sein.</td></tr><tr><td><code>--env-file &#x3C;path></code></td><td></td><td>Umgebungsdatei mit Zeilen <code>KEY=value</code>. Leere Zeilen und Zeilen, die mit <code>#</code> beginnen, werden ignoriert; Anführungszeichen um einen Wert werden entfernt. Werte können Referenzen sein. Eine Zeile ohne <code>=</code> stoppt den Befehl mit Exitcode <code>2</code>. Eine Variable der Datei ersetzt eine Variable Ihrer Umgebung mit demselben Namen. Siehe <a href="/cli/de/anleitungen/secrets/replace-env-files.md">Die Passwörter aus einer .env-Datei nehmen</a>.</td></tr><tr><td><code>--stdin-reference &#x3C;reference></code></td><td></td><td>Referenz, deren Wert genau in die Standardeingabe des Befehls geschrieben wird. Sie muss eine genaue <code>devo://</code>-Referenz sein; benannte und kanonische Referenzen funktionieren beide.</td></tr><tr><td><code>--manifest &#x3C;path></code></td><td></td><td>Startmanifest: eine versionierte JSON-Datei, die den Befehl, seine Argumente, seine Referenzen und optional eine Referenz für die Standardeingabe, ein Zeitlimit und einen Arbeitsordner enthält (ein absoluter Ordner, der existiert). Kann nicht kombiniert werden mit <code>--env-ref</code>, <code>--env-file</code>, <code>--stdin-reference</code>, <code>--timeout-seconds</code> oder einem Befehl nach <code>--</code>. Mit einem Manifest werden Variablen Ihrer Umgebung, die eine Referenz enthalten, nicht aufgelöst.</td></tr><tr><td><code>--timeout-seconds &#x3C;seconds></code></td><td>Keine</td><td>Maximale Laufzeit des Befehls, größer als null. Wenn sie überschritten wird, wird der Befehl angehalten und <code>devo</code> endet mit dem Code <code>124</code>. Ohne sie gibt es kein Zeitlimit.</td></tr><tr><td><code>--receipt-file &#x3C;path></code></td><td></td><td>Schreibt nach dem Ende des Befehls eine Quittung des Starts: eine JSON-Datei mit dem Startplan, den Variablennamen, dem Exitcode und der Dauer, ohne einen Wert. Die Datei darf noch nicht existieren. Wenn sie existiert, läuft der Befehl trotzdem, aber die Quittung wird nicht geschrieben, und <code>devo</code> endet mit dem Code <code>1</code> statt mit dem Exitcode Ihres Befehls.</td></tr><tr><td><code>--check</code></td><td>Aus</td><td>Prüft, dass der Befehl existiert und dass die Referenzen wohlgeformt sind, ohne ein Geheimnis zu lesen oder den Befehl zu starten. Bei einem lokalen Profil und bei einer benannten Referenz prüft es auch, dass der Tresor und der Eintrag existieren; auf Devolutions Cloud und Devolutions Server wird eine kanonische Referenz nicht nachgeschlagen. Kann nicht mit <code>--dry-run</code> kombiniert werden.</td></tr><tr><td><code>--dry-run</code></td><td>Aus</td><td>Prüft den Startplan und zeigt ihn, ohne Ihren Workspace zu kontaktieren, nach dem Befehl zu suchen, ein Geheimnis zu lesen oder den Befehl zu starten. Kann nicht mit <code>--check</code> kombiniert werden.</td></tr><tr><td><code>--no-masking</code></td><td>Aus</td><td>Ersetzt aufgelöste Werte nicht mehr durch <code>&#x3C;concealed by Devolutions></code> in dem, was der Befehl auf seiner Standardausgabe und Fehlerausgabe ausgibt.</td></tr></tbody></table>

Neben `--env-ref` und `--env-file` wird jede Variable Ihrer Umgebung, deren Wert eine `devo://`-Referenz ist, für den Befehl aufgelöst, es sei denn, Sie verwenden `--manifest`. Derselbe Variablenname kann nicht aus zwei Quellen kommen, zum Beispiel aus einer `--env-ref` und einer Variable Ihrer Umgebung: Der Befehl stoppt stattdessen.

**Exitcodes:** Ein ungültiger Start, etwa ein fehlerhaftes `--env-ref` oder sowohl `--check` als auch `--dry-run`, endet mit `2`, bevor etwas gelesen wird. Ein Zeitlimit endet mit `124`, ein Abbruch mit <kbd>Strg</kbd>+<kbd>C</kbd> mit `130`. Andernfalls endet `devo secret run` mit dem Exitcode Ihres Befehls. Siehe [Exitcodes und Fehler](/cli/de/referenz/exit-codes-and-errors.md).

## devo secret read

Liest eine Referenz und schreibt den Wert ins Terminal oder in eine Datei.

**Workspace:** Alle Workspace-Typen

```bash
devo secret read <reference> [--attribute <attribute>] [--out-file <path> [--force]] [--raw]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>&#x3C;reference></code></td><td></td><td>Die zu lesende Referenz, etwa <code>devo://&#x3C;workspace>/&#x3C;vault>/&#x3C;entry>/password</code>. Erforderlich. Eine fehlerhafte Referenz wird abgelehnt, bevor etwas gelesen wird. Siehe <a href="/cli/de/referenz/secret-references.md">Syntax der Geheimnisreferenz</a>.</td></tr><tr><td><code>--attribute &#x3C;attribute></code> (<code>--attr</code>)</td><td></td><td>Was über das Feld gelesen wird: <code>value</code>, <code>type</code>, <code>id</code>, <code>title</code> oder <code>purpose</code>, ohne Rücksicht auf die Großschreibung. <code>otp</code> wird akzeptiert, gibt aber nichts zurück. Jeder andere Wert wird abgelehnt. Ohne diese Option gilt das eigene <code>?attribute=</code> der Referenz, oder <code>value</code>. Siehe <a href="/cli/de/referenz/secret-references.md#attributes">Attribute</a>.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td></td><td>Schreibt den Wert in eine Datei statt ins Terminal. Der Ordner muss vorhanden sein und der Pfad darf kein Ordner sein. Bei Textausgabe wird nichts anderes gedruckt; mit <code>--output json</code> wird das Ergebnis ohne den Wert gedruckt.</td></tr><tr><td><code>--force</code></td><td>Aus</td><td>Überschreibt die Datei <code>--out-file</code>, wenn sie vorhanden ist. Ohne sie wird eine vorhandene Datei abgelehnt.</td></tr><tr><td><code>--raw</code></td><td>Aus</td><td>Schreibt bei Textausgabe genau den Wert auf die Standardausgabe, ohne Zeilenumbruch am Ende. Ohne diese Option folgt auf den Wert ein Zeilenumbruch.</td></tr></tbody></table>

## devo secret get

Liest ein Feld eines Eintrags des ausgewählten Workspace, nach Eintragsname oder ID, ohne eine Referenz zu schreiben.

**Workspace:** Alle Workspace-Typen

```bash
devo secret get <field> <entry> [--vault <vault>] [--attribute <attribute>] [--out-file <path> [--force]] [--raw]
devo secret get <field> id:<entry-id> --vault-id <vault-id>
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>&#x3C;field></code></td><td></td><td>Das zu lesende Feld, etwa <code>password</code>, <code>username</code>, <code>domain</code>, <code>host</code>, <code>otp</code> oder <code>privatekey</code>. Erforderlich. Devolutions Server liest jede Dateneigenschaft des Eintrags.</td></tr><tr><td><code>&#x3C;entry></code></td><td></td><td>Der Name des Eintrags oder seine ID mit <code>id:&#x3C;value></code> oder <code>--id</code>. Erforderlich.</td></tr><tr><td><code>--id</code></td><td>Aus</td><td>Behandelt <code>&#x3C;entry></code> als ID.</td></tr><tr><td><code>--workspace &#x3C;workspace></code></td><td>Aktueller Workspace</td><td>Workspace des Eintrags, nach Name oder ID.</td></tr><tr><td><code>--vault &#x3C;vault></code></td><td>Aktueller Tresor</td><td>Tresor des Eintrags, nach Name oder ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Tresor des Eintrags, nach ID. Hat Vorrang vor <code>--vault</code>. Mit einer Eintrags-ID und ohne Tresoroption wird der aktuelle Tresor verwendet; wenn kein Tresor ausgewählt ist, verlangt der Befehl <code>--vault-id</code>.</td></tr><tr><td><code>--section &#x3C;section></code></td><td></td><td>Abschnitt des Feldes, wenn das Feld in einem Abschnitt liegt. Kann nicht mit einer Eintrags-ID oder den Passphrase-Optionen kombiniert werden.</td></tr><tr><td><code>--attribute &#x3C;attribute></code> (<code>--attr</code>)</td><td><code>value</code></td><td>Was zum Feld gelesen werden soll: <code>value</code>, <code>type</code>, <code>id</code>, <code>title</code> oder <code>purpose</code>. <code>otp</code> wird akzeptiert, gibt aber nichts zurück. Mit einer Passphrase-Option wird nur <code>value</code> akzeptiert.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Nur lokales Profil: Name der Umgebungsvariable, die die Passphrase eines geschützten Workspace enthält. Abgelehnt auf Devolutions Cloud und Devolutions Server. Benötigt die Eintrags-ID (<code>id:&#x3C;value></code> oder <code>--id</code>). Mit einer Passphrase-Option kann nur das Feld <code>password</code> gelesen werden, nur eine der beiden Passphrase-Optionen darf angegeben werden, nur Textausgabe wird akzeptiert, und ohne <code>--vault-id</code> oder <code>--vault</code> wird der Standardtresor des Workspace verwendet.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td></td><td>Nur lokales Profil: private Datei, die die Passphrase eines geschützten Workspace enthält. Dieselben Regeln wie <code>--passphrase-env</code>.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td></td><td>Schreibt den Wert in eine Datei statt ins Terminal. Dieselben Regeln wie für <code>devo secret read</code>.</td></tr><tr><td><code>--force</code></td><td>Aus</td><td>Überschreibt die Datei <code>--out-file</code>, falls sie vorhanden ist.</td></tr><tr><td><code>--raw</code></td><td>Aus</td><td>Schreibt bei Textausgabe genau den Wert auf die Standardausgabe, ohne Zeilenumbruch am Ende.</td></tr></tbody></table>

## devo secret set

Schreibt ein geheimes Feld eines Eintrags, mit dem neuen Wert aus einer Umgebungsvariable oder einer Datei. Der neue Wert wird nie ausgegeben.

**Workspace:** Alle Workspace-Typen. Devolutions Server schreibt jede Dateneigenschaft des Eintrags; Devolutions Cloud und lokale Profile schreiben nur `password`.

```bash
devo secret set <field> <entry> --value-env <variable> --yes
devo secret set <field> <entry> --value-file <path> --yes
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>&#x3C;field></code></td><td></td><td>Das zu schreibende Feld. Erforderlich. Auf Devolutions Cloud und bei einem lokalen Profil wird jedes Feld außer <code>password</code> mit einem Fehler abgelehnt, der sagt, dass der Workspace Schreibvorgänge nur in das Passwortfeld akzeptiert.</td></tr><tr><td><code>&#x3C;entry></code></td><td></td><td>Der Name des Eintrags oder seine ID mit <code>id:&#x3C;value></code> oder <code>--id</code>. Erforderlich.</td></tr><tr><td><code>--id</code></td><td>Aus</td><td>Behandelt <code>&#x3C;entry></code> als ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Tresor des Eintrags, nach ID. Bei einem lokalen Profil wird mit einer Eintrags-ID und ohne <code>--vault-id</code> der Standardtresor des Workspace verwendet. Auf Devolutions Cloud wird ohne sie der aktuelle Tresor verwendet.</td></tr><tr><td><code>--value-env &#x3C;variable></code></td><td></td><td>Name der Umgebungsvariable, die den neuen Wert enthält. Verwenden Sie genau eines von <code>--value-env</code> oder <code>--value-file</code>.</td></tr><tr><td><code>--value-file &#x3C;path></code></td><td></td><td>Datei, die den neuen Wert enthält.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Nur lokales Profil: Name der Umgebungsvariable, die die Passphrase eines geschützten Workspace enthält. Auf Devolutions Cloud und Devolutions Server abgelehnt.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td><code>&#x3C;workspace file>.passphrase</code></td><td>Nur lokales Profil: private Datei, die die Passphrase eines geschützten Workspace enthält. Ohne eine Passphrase-Option wird die Datei <code>&#x3C;workspace file>.passphrase</code> im Profilordner verwendet. Abgelehnt auf Devolutions Cloud und Devolutions Server.</td></tr><tr><td><code>--yes</code> (<code>-y</code>, <code>--confirmed</code>)</td><td>Aus</td><td>Bestätigt die Änderung. Erforderlich: Ohne sie wird nichts geschrieben.</td></tr></tbody></table>

## devo secret inject

Ersetzt die Referenzen in einem Text, von der Standardeingabe oder einer Datei, durch ihre Werte.

**Workspace:** Alle Workspace-Typen

```bash
devo secret inject [--in-file <path>] [--out-file <path> [--force]]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--in-file &#x3C;path></code> (<code>-i</code>)</td><td>Standardeingabe</td><td>Zu lesende Vorlage.</td></tr><tr><td><code>--out-file &#x3C;path></code> (<code>-f</code>)</td><td>Standardausgabe</td><td>Zu schreibende Datei. Der Ordner muss vorhanden sein und der Pfad darf kein Ordner sein.</td></tr><tr><td><code>--force</code></td><td>Aus</td><td>Überschreibt die Datei <code>--out-file</code>, wenn sie vorhanden ist. Ohne sie wird eine vorhandene Datei abgelehnt.</td></tr></tbody></table>

Wenn eine Referenz in der Vorlage nicht aufgelöst werden kann, wird nichts geschrieben und der Befehl endet mit Code `1`. Mit `--output json` oder `--output yaml` gibt der Befehl eine Zusammenfassung statt des gefüllten Textes aus: Verwenden Sie `--out-file`, um den Text zu erhalten. Siehe [Eine Konfigurationsdatei aus einer Vorlage füllen](/cli/de/anleitungen/secrets/fill-a-template.md).

## devo secret shell enter

Gibt Shell-Code aus, der Referenzen in Ihre aktuelle Bash- oder PowerShell-Sitzung lädt. Führen Sie diesen Code mit `eval` (Bash) oder `Invoke-Expression` (PowerShell) aus. Siehe [Geheimnisse in der aktuellen Shell verwenden](/cli/de/anleitungen/secrets/current-shell.md).

**Workspace:** Alle Workspace-Typen

```bash
devo secret shell enter --shell <bash|pwsh> --env-ref <NAME>=<reference> [--env-ref ...] [--check --output json]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Shell, für die Code geschrieben wird: <code>bash</code> oder <code>pwsh</code> (<code>powershell</code> funktioniert gleich). Erforderlich. Jeder andere Wert wird abgelehnt.</td></tr><tr><td><code>--env-ref &#x3C;NAME>=&#x3C;reference></code></td><td></td><td>Zu ladende Variable und ihre Referenz. Wiederholen Sie das für mehrere Variablen. Mindestens eine ist erforderlich. Jeder Name muss eindeutig sein, ohne Beachtung der Groß- und Kleinschreibung. Der Befehl liest weder Ihre Umgebung noch <code>.env</code>-Dateien.</td></tr><tr><td><code>--check</code></td><td>Aus</td><td>Prüft die Referenzen, wie es <code>devo secret run --check</code> tut, ohne ein Geheimnis zu lesen oder Shell-Code zu schreiben. Benötigt <code>--output json</code>.</td></tr></tbody></table>

Ohne `--check` braucht der Befehl eine Textausgabe, damit die Shell ausführen kann, was er druckt. Wenn eine Referenz nicht gelesen werden kann, wird nichts auf der Standardausgabe gedruckt und der Befehl endet mit einem Code ungleich null.

## devo secret shell leave

Gibt Shell-Code aus, der das letzte `devo secret shell enter` rückgängig macht und jede Variable so wiederherstellt, wie sie vorher war.

**Workspace:** Alle Workspace-Typen

```bash
devo secret shell leave --shell <bash|pwsh>
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Shell, für die Code geschrieben wird: <code>bash</code> oder <code>pwsh</code> (<code>powershell</code> bewirkt dasselbe). Erforderlich. Verwenden Sie denselben Wert wie für <code>enter</code>. Der Befehl braucht eine Textausgabe.</td></tr></tbody></table>

## devo secret shell status

Zeigt, ob ein Bereich von `devo secret shell enter` in der aktuellen Shell aktiv ist, wie viele Bereiche verschachtelt sind und die Namen der Variablen, die der jüngste gesetzt hat. Er zeigt nie Werte.

**Workspace:** Alle Workspace-Typen

```bash
devo secret shell status --shell <bash|pwsh> --output json
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--shell &#x3C;shell></code></td><td></td><td>Zu prüfende Shell: <code>bash</code> oder <code>pwsh</code> (<code>powershell</code> funktioniert genauso). Erforderlich. Der Befehl braucht <code>--output json</code>.</td></tr></tbody></table>

## devo secret catalog entry

Listet die `devo://`-Referenzen der Felder eines Eintrags auf, bereit zum Kopieren, ohne einen Wert. Dasselbe wie `devo entry references`. Siehe [Die Referenz zu einem Geheimnis finden](/cli/de/anleitungen/secrets/find-a-reference.md).

**Workspace:** Alle Workspace-Typen

```bash
devo secret catalog entry <entry> [--vault-name <vault> | --vault-id <id>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>&#x3C;entry></code></td><td></td><td>Der Name des Eintrags oder seine ID mit <code>id:&#x3C;value></code> oder <code>--id</code>. Erforderlich.</td></tr><tr><td><code>--id</code></td><td>Aus</td><td>Behandelt <code>&#x3C;entry></code> als ID.</td></tr><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Tresor des Eintrags, nach ID. Auf Devolutions Cloud wird ohne Tresoroption der aktuelle Tresor verwendet.</td></tr><tr><td><code>--vault-name &#x3C;name></code></td><td></td><td>Tresor des Eintrags, nach Name.</td></tr></tbody></table>

## devo secret capabilities

Beschreibt für Devolutions Cloud, Devolutions Server und lokale Profile, was die Geheimnisbefehle unterstützen, etwa welche Felder gelesen und geschrieben werden können. Es wird kein Wert zurückgegeben und kein Workspace kontaktiert.

**Workspace:** Alle Workspace-Typen

```bash
devo secret capabilities --output json
```

Dieser Befehl hat keine eigenen Argumente oder Optionen.

## devo secretspec register

Registriert dieses `devo` als SecretSpec-Anbieter für `devo://`-Anbieter-URIs, indem es eine `devo.secretspec.json`-Claim-Datei schreibt. Siehe [Devolutions CLI mit SecretSpec verwenden](/cli/de/anleitungen/secrets/secretspec.md#where-the-claim-file-goes), wo die Datei hingeht.

**Workspace:** Alle Workspace-Typen

```bash
devo secretspec register [--system] [--executable <path>] [--environment <name>]... [--force] [--dry-run]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--system</code></td><td>Aus</td><td>Schreibt den Anspruch für jeden Benutzer des Computers statt nur für Sie. Das braucht in der Regel Administratorrechte.</td></tr><tr><td><code>--executable &#x3C;path></code></td><td>Dieses <code>devo</code></td><td>Die zu registrierende ausführbare Datei <code>devo</code>. Der Pfad muss absolut sein und die Datei muss vorhanden sein. Ein Pfad zum Host <code>dotnet</code> wird abgelehnt: Registrieren Sie die veröffentlichte ausführbare Datei <code>devo</code>.</td></tr><tr><td><code>--environment &#x3C;name></code> (<code>--env</code>)</td><td></td><td>Zusätzliche Umgebungsvariable, die SecretSpec an <code>devo</code> übergeben darf, nach genauem Namen oder nach einem Präfix, das auf <code>*</code> endet, etwa <code>DEVO_*</code>. Wiederholen Sie sie für mehrere. Ein Name verwendet Buchstaben, Ziffern und Unterstriche und darf nicht mit einer Ziffer beginnen; alles andere wird abgelehnt. <code>RDM_CONFIG_PATH</code> und <code>DEVO_CLI_CONFIG_HOME</code> sind immer enthalten.</td></tr><tr><td><code>--force</code></td><td>Aus</td><td>Ersetzt einen vorhandenen Anspruch, der eine ausführbare Datei registriert, die keine <code>devo</code>-Datei ist. Ein Anspruch, der auf eine andere <code>devo</code>-Datei zeigt, wird ohne <code>--force</code> ersetzt.</td></tr><tr><td><code>--dry-run</code></td><td>Aus</td><td>Zeigt den Anspruch, der geschrieben würde, ohne ihn zu schreiben.</td></tr></tbody></table>

Wenn derselbe Anspruch schon vorhanden ist, wird nichts geschrieben und der Befehl meldet ihn als unverändert.

## devo secretspec unregister

Entfernt den `devo.secretspec.json`-Anspruch, sodass SecretSpec Devolutions CLI nicht mehr startet. Wenn kein Anspruch vorhanden ist, meldet der Befehl ihn als fehlend.

**Workspace:** Alle Workspace-Typen

```bash
devo secretspec unregister [--system] [--dry-run]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--system</code></td><td>Aus</td><td>Entfernt den Anspruch für jeden Benutzer des Computers statt für Ihren.</td></tr><tr><td><code>--dry-run</code></td><td>Aus</td><td>Zeigt den Anspruch, der entfernt würde, ohne ihn zu entfernen.</td></tr></tbody></table>

## devo secretspec status

Zeigt den Anspruch Ihres Benutzers und den Anspruch des Computers und für jeden, ob er auf das `devo` zeigt, das Sie ausführen.

**Workspace:** Alle Workspace-Typen

```bash
devo secretspec status
```

Dieser Befehl hat keine eigenen Argumente oder Optionen.

## devo secretspec uri

Gibt den Anbieter-URI aus, der in `secretspec.toml` für den ausgewählten Workspace gesetzt wird: den mit `--source` oder `--context` angegebenen oder den aktuellen Kontext.

**Workspace:** Alle Workspace-Typen

```bash
devo secretspec uri --context <context-name> [--vault-id <vault-id>]
devo secretspec uri --source sqlite --workspace-id sqlite:<file-name>.db [--vault-id <vault-id>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--vault-id &#x3C;id></code></td><td></td><td>Standardtresor des Anbieters. Ein Geheimnis kann weiterhin seinen eigenen Tresor nennen. Ohne ihn muss jedes Geheimnis seinen Tresor nennen.</td></tr><tr><td><code>--workspace-id &#x3C;id></code></td><td></td><td>Nur lokales Profil, und dort erforderlich: die Workspace-ID, geschrieben als <code>sqlite:&#x3C;file-name>.db</code>, etwa <code>sqlite:Connections.db</code>. <code>devo workspace current</code> zeigt sie. Abgelehnt für Devolutions Cloud und Devolutions Server, deren URIs stattdessen einen Kontext auswählen.</td></tr></tbody></table>

## devo secretspec provider

Stellt das SecretSpec-Anbieterprotokoll über Standardeingabe und Standardausgabe bereit. SecretSpec startet es von selbst über den registrierten Anspruch; Sie führen es nicht selbst aus.

**Workspace:** Alle Workspace-Typen

```bash
devo secretspec provider
```

Dieser Befehl hat keine eigenen Argumente oder Optionen.

## devo generate password

Erzeugt ein starkes zufälliges Passwort auf Ihrem Computer. Es enthält immer mindestens einen Kleinbuchstaben, einen Großbuchstaben, eine Ziffer und ein Symbol aus `!@#$%^&*?`. Wie jeder `devo generate`-Befehl kontaktiert er keinen Workspace und startet den Hintergrundprozess nicht.

**Workspace:** Alle Workspace-Typen (funktioniert nur auf Ihrem Computer)

```bash
devo generate password [--length <length>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--length &#x3C;length></code></td><td><code>32</code></td><td>Länge des Passworts, von 8 bis 4096. <code>0</code> oder ein negativer Wert bedeutet den Standard, 32. Jeder andere Wert außerhalb des Bereichs wird abgelehnt.</td></tr></tbody></table>

## devo generate human-readable

Erzeugt ein Passwort, das leicht zu lesen ist: aussprechbare Kleinbuchstaben-Silben, dann Ziffern, dann Symbole.

**Workspace:** Alle Workspace-Typen (funktioniert nur auf Ihrem Computer)

```bash
devo generate human-readable [--syllables <count>] [--numerics <count>] [--symbols <count>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--syllables &#x3C;count></code></td><td><code>4</code></td><td>Anzahl der Silben, jeweils ein Konsonant und ein Vokal, von 1 bis 64.</td></tr><tr><td><code>--numerics &#x3C;count></code></td><td><code>1</code></td><td>Anzahl der Ziffern, die nach den Silben hinzugefügt werden, von 0 bis 64.</td></tr><tr><td><code>--symbols &#x3C;count></code></td><td><code>1</code></td><td>Anzahl der Symbole aus <code>!@#$%^&#x26;*?</code>, die am Ende hinzugefügt werden, von 0 bis 64.</td></tr></tbody></table>

## devo generate passphrase

Erzeugt eine Passphrase aus zufälligen Wörtern eines Wörterbuchs.

**Workspace:** Alle Workspace-Typen (funktioniert nur auf Ihrem Computer)

```bash
devo generate passphrase [--words <count>] [--separator <text>] [--dictionary <dictionary>]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--words &#x3C;count></code></td><td><code>5</code></td><td>Anzahl der Wörter, von 1 bis 64.</td></tr><tr><td><code>--separator &#x3C;text></code></td><td><code>-</code></td><td>Text, der zwischen die Wörter gesetzt wird. Ein leerer Wert bedeutet den Standard, <code>-</code>.</td></tr><tr><td><code>--dictionary &#x3C;dictionary></code></td><td><code>English</code></td><td>Wortliste: <code>English</code> (oder <code>en</code>), <code>French</code> (oder <code>fr</code>) oder <code>German</code> (oder <code>de</code>), in beliebiger Schreibweise. Jeder andere Wert wird abgelehnt.</td></tr></tbody></table>

## devo generate pattern

Erzeugt ein Passwort aus einem Muster, ein Zeichen pro Buchstabe des Musters.

**Workspace:** Alle Workspace-Typen (funktioniert nur auf Ihrem Computer)

```bash
devo generate pattern <pattern> [--shuffle]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>&#x3C;pattern></code></td><td></td><td>Das Muster. Erforderlich, bis zu 4096 Buchstaben. Jeder Buchstabe ergibt ein Zeichen: <code>u</code> Großbuchstabe, <code>l</code> Kleinbuchstabe, <code>d</code> Ziffer, <code>s</code> Symbol aus <code>!@#$%^&#x26;*?</code>, <code>x</code> eines davon. Buchstaben werden in jeder Schreibweise akzeptiert; jedes andere Zeichen wird abgelehnt. Zum Beispiel <code>uulldds</code>.</td></tr><tr><td><code>--shuffle</code></td><td>Aus</td><td>Mischt die erzeugten Zeichen, sodass ihre Reihenfolge dem Muster nicht mehr folgt.</td></tr></tbody></table>

## devo generate ssh-key

Erzeugt ein RSA-Schlüsselpaar auf Ihrem Computer: einen privaten Schlüssel im PEM-Format, verschlüsselt, wenn Sie eine Passphrase angeben, und einen öffentlichen Schlüssel im OpenSSH-Format. Der öffentliche Schlüssel wird auch ausgegeben.

**Workspace:** Alle Workspace-Typen (funktioniert nur auf Ihrem Computer)

```bash
devo generate ssh-key --out-file <path> [--bits <bits>] [--comment <text>] [--passphrase-env <variable> | --passphrase-file <path>] [--public-out-file <path>] [--force]
```

<table><thead><tr><th width="300">OPTION</th><th width="130">STANDARD</th><th>WAS ES TUT</th></tr></thead><tbody><tr><td><code>--out-file &#x3C;path></code></td><td></td><td>Datei des privaten Schlüssels. Erforderlich. Der Ordner muss vorhanden sein. Unter macOS und Linux kann nur Ihr Benutzerkonto die Datei lesen.</td></tr><tr><td><code>--public-out-file &#x3C;path></code></td><td><code>&#x3C;out-file>.pub</code></td><td>Datei des öffentlichen Schlüssels. Sie muss sich von <code>--out-file</code> unterscheiden.</td></tr><tr><td><code>--algorithm &#x3C;algorithm></code></td><td><code>rsa</code></td><td>Schlüsselalgorithmus. <code>rsa</code> ist der einzige unterstützte Wert.</td></tr><tr><td><code>--bits &#x3C;bits></code></td><td><code>3072</code></td><td>RSA-Schlüsselgröße: <code>2048</code>, <code>3072</code> oder <code>4096</code>. Jeder andere Wert wird abgelehnt.</td></tr><tr><td><code>--comment &#x3C;text></code></td><td>Ihr Benutzername</td><td>Kommentar am Ende des öffentlichen Schlüssels. Er darf keine Steuerzeichen enthalten.</td></tr><tr><td><code>--passphrase-env &#x3C;variable></code></td><td></td><td>Name der Umgebungsvariable, die die Passphrase enthält, die den privaten Schlüssel schützt. Die Variable muss gesetzt und nicht leer sein. Verwenden Sie diese Option oder <code>--passphrase-file</code>, nicht beides. Ohne eine der beiden wird der private Schlüssel nicht verschlüsselt.</td></tr><tr><td><code>--passphrase-file &#x3C;path></code></td><td></td><td>Datei, die die Passphrase enthält. Die Datei muss vorhanden und nicht leer sein; Zeilenumbrüche am Ende werden ignoriert.</td></tr><tr><td><code>--force</code></td><td>Aus</td><td>Überschreibt die Schlüsseldateien, wenn sie vorhanden sind. Ohne sie wird eine vorhandene Datei abgelehnt.</td></tr></tbody></table>

## Weiter

* [Sign-in and context commands](/cli/de/referenz/commands/sign-in-and-contexts.md)
* [MCP, background process, and configuration commands](/cli/de/referenz/commands/mcp-daemon-config.md)
* [Secret reference syntax](/cli/de/referenz/secret-references.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/cli/de/referenz/commands/secrets.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.