> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cli/es/para-devops-y-administradores/manage/users-and-access.md).

# Administrar usuarios, grupos y acceso

Administrar usuarios, grupos, roles y el acceso a las bóvedas desde un terminal con Devolutions CLI, y ver qué tareas ofrece cada tipo de espacio de trabajo.

`devo admin` le permite ocuparse de las personas y los permisos de su espacio de trabajo desde un terminal o un script: enumerar usuarios, actualizar una cuenta, organizar grupos y decidir quién puede abrir una bóveda. La mayoría de estas tareas dependen del tipo de espacio de trabajo, así que cada tabla de esta página tiene una columna ESPACIO DE TRABAJO. En Devolutions Cloud y Devolutions Server, un comando que el espacio de trabajo no ofrece se detiene con `operationNotSupportedBySource` e indica el tipo que necesita. Un perfil local lo rechaza con su propio código de error y un mensaje que explica por qué.

## Antes de empezar

* Inicie sesión con una cuenta que tenga derechos de administrador en el espacio de trabajo. Consulte [Iniciar sesión en Devolutions Cloud](/cli/es/guias/connect/devolutions-cloud.md) o [Iniciar sesión en Devolutions Server](/cli/es/guias/connect/devolutions-server.md).
* Compruebe qué espacio de trabajo está seleccionado con `devo status`. Añada `--context <context-name>` a un comando para ejecutarlo en otro.
* Los comandos que cambian algo necesitan `--yes`. Sin él, no cambian nada y se detienen con `confirmationRequired`.
* Los usuarios y los grupos se seleccionan por nombre de forma predeterminada. Escriba `id:<value>` o añada `--id` para seleccionar por identificador, y `email:<value>` o `--email` para seleccionar un usuario por correo. En `devo admin group members add` y `remove`, las opciones correspondientes son `--group-id`, `--user-id` y `--user-email`.

## Usuarios

<table><thead><tr><th width="230">TAREA</th><th>COMANDO</th><th width="210">ESPACIO DE TRABAJO</th></tr></thead><tbody><tr><td>Enumerar usuarios, ver un usuario</td><td><code>devo admin user list</code><br><code>devo admin user get "&#x3C;user>"</code></td><td>Devolutions Cloud, Devolutions Server, perfil local (solo lectura, cuando el perfil lo permite)</td></tr><tr><td>Ver los grupos de un usuario</td><td><code>devo admin user groups list "&#x3C;user>"</code></td><td>Devolutions Cloud, perfil local (solo lectura, cuando el perfil lo permite)</td></tr><tr><td>Crear un usuario</td><td><code>devo admin user create "&#x3C;login>" --email &#x3C;email> --password-env &#x3C;VARIABLE_NAME> --yes</code></td><td>Devolutions Server</td></tr><tr><td>Actualizar un usuario</td><td><code>devo admin user update "&#x3C;user>" --enabled false --yes</code></td><td>Devolutions Cloud, Devolutions Server</td></tr><tr><td>Eliminar un usuario</td><td><code>devo admin user delete "&#x3C;user>" --yes</code></td><td>Devolutions Cloud, Devolutions Server</td></tr></tbody></table>

Algunas opciones de `devo admin user update` pertenecen solo a un tipo de espacio de trabajo:

* **Solo Devolutions Cloud**: `--description`, `--locale`, `--workspace-access`, `--web-login` y `--user-vaults`.
* **Solo Devolutions Server**: `--first-name`, `--last-name`, `--user-type`, `--password-env`, `--password-file` y `--force-password-change`. En Devolutions Server, cambie el nombre de un usuario con `--first-name` y `--last-name`: `--name` y `--display-name` no se aceptan.

No puede combinar opciones de ambos tipos en un solo comando.

En Devolutions Cloud, los usuarios sincronizados desde el directorio de su organización los administra ese directorio. Devolutions CLI se niega a actualizarlos o eliminarlos.

{% hint style="info" %}
La contraseña de un usuario nuevo se lee desde una variable de entorno (`--password-env`) o un archivo (`--password-file`), nunca desde la línea de comandos, para que no acabe en el historial de su shell.
{% endhint %}

## Grupos

<table><thead><tr><th width="230">TAREA</th><th>COMANDO</th><th width="210">ESPACIO DE TRABAJO</th></tr></thead><tbody><tr><td>Enumerar grupos, ver un grupo y sus miembros</td><td><code>devo admin group list</code><br><code>devo admin group get "&#x3C;group>"</code><br><code>devo admin group members list "&#x3C;group>"</code></td><td>Devolutions Cloud, perfil local (solo lectura, cuando el perfil lo permite)</td></tr><tr><td>Crear, cambiar el nombre o eliminar un grupo</td><td><code>devo admin group create "&#x3C;group>" --yes</code><br><code>devo admin group update "&#x3C;group>" --name "&#x3C;new-name>" --yes</code><br><code>devo admin group delete "&#x3C;group>" --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Añadir o quitar un miembro</td><td><code>devo admin group members add "&#x3C;group>" "&#x3C;user>" --yes</code><br><code>devo admin group members remove "&#x3C;group>" "&#x3C;user>" --yes</code></td><td>Devolutions Cloud</td></tr></tbody></table>

Eliminar un grupo también quita sus asignaciones. Los grupos sincronizados desde el directorio de su organización no se pueden eliminar.

## Roles y acceso a la bóveda

<table><thead><tr><th width="230">TAREA</th><th>COMANDO</th><th width="210">ESPACIO DE TRABAJO</th></tr></thead><tbody><tr><td>Enumerar los roles</td><td><code>devo admin role list --scope vault</code> (or <code>--scope entry</code>)<br><code>devo admin role get &#x3C;role-id></code></td><td>Devolutions Cloud</td></tr><tr><td>Ver quién puede abrir una bóveda</td><td><code>devo vault access list "&#x3C;vault>"</code></td><td>Devolutions Cloud</td></tr><tr><td>Dar a un usuario o a un grupo acceso a una bóveda</td><td><code>devo vault access grant "&#x3C;vault>" --user "&#x3C;user>" --role Readers --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Quitar el acceso de un usuario o de un grupo</td><td><code>devo vault access revoke "&#x3C;vault>" --group "&#x3C;group>" --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Ver, dar o quitar un rol en una entrada</td><td><code>devo entry access list --vault-id &#x3C;vault-id> --entry-id &#x3C;entry-id></code><br><code>devo entry access get --vault-id &#x3C;vault-id> --entry-id &#x3C;entry-id> --user-id &#x3C;user-id></code><br><code>devo entry access grant --vault-id &#x3C;vault-id> --entry-id &#x3C;entry-id> --user-id &#x3C;user-id> --role-id &#x3C;role-id> --yes</code><br><code>devo entry access revoke --vault-id &#x3C;vault-id> --entry-id &#x3C;entry-id> --group-id &#x3C;group-id> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Ver los permisos directos de una entrada</td><td><code>devo entry permission get "&#x3C;entry>"</code></td><td>Devolutions Cloud, perfil local (cuando el perfil lo permite)</td></tr><tr><td>Enumerar los conjuntos de permisos</td><td><code>devo admin access permission-sets</code></td><td>Devolutions Server</td></tr></tbody></table>

`--role` acepta un nombre o un identificador de rol: `Restricted`, `Readers`, `PrivilegedReaders`, `Operators`, `PrivilegedOperators`, `Contributors` o `VaultOwners`. Cada concesión o revocación actúa sobre un solo usuario (`--user`) o un solo grupo (`--group`).

En un perfil local, `devo admin role list` y `devo admin access permission-sets` no están disponibles: las listas de roles son para Devolutions Cloud, y los conjuntos de permisos para Devolutions Server.

## Solo Devolutions Cloud

<table><thead><tr><th width="230">TAREA</th><th>COMANDO</th><th width="210">ESPACIO DE TRABAJO</th></tr></thead><tbody><tr><td>Revisar y limpiar las invitaciones</td><td><code>devo admin invitation list</code><br><code>devo admin invitation get --invitation-id &#x3C;invitation-id></code><br><code>devo admin invitation remove-email --id &#x3C;invitation-id> --email &#x3C;email> --yes</code><br><code>devo admin invitation delete --id &#x3C;invitation-id> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Administrar los permisos del sistema</td><td><code>devo admin access system list</code><br><code>devo admin access system get --user-id &#x3C;user-id></code><br><code>devo admin access system grant --user-id &#x3C;user-id> --permission &#x3C;permission> --yes</code><br><code>devo admin access system revoke --group-id &#x3C;group-id> --permission &#x3C;permission> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Administrar los roles de la bóveda del sistema</td><td><code>devo admin access system-vault list</code><br><code>devo admin access system-vault get --user-id &#x3C;user-id></code><br><code>devo admin access system-vault grant --user-id &#x3C;user-id> --role-id &#x3C;role-id> --yes</code><br><code>devo admin access system-vault revoke --group-id &#x3C;group-id> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Revisar o quitar instancias de Devolutions Gateway</td><td><code>devo admin gateway list</code><br><code>devo admin gateway get --gateway-id &#x3C;gateway-id></code><br><code>devo admin gateway settings get</code><br><code>devo admin gateway delete --gateway-id &#x3C;gateway-id> --yes</code><br><br>Los resultados nunca incluyen los secretos de las pasarelas.</td><td>Devolutions Cloud</td></tr><tr><td>Ver o cambiar el propietario de la organización</td><td><code>devo admin owner get</code><br><code>devo admin owner set --user-id &#x3C;user-id> --yes</code></td><td>Devolutions Cloud</td></tr><tr><td>Revisar o cambiar la configuración del sistema</td><td><code>devo admin settings get</code><br><code>devo admin settings update --force-two-factor-authentication --yes</code></td><td>Devolutions Cloud</td></tr></tbody></table>

{% hint style="danger" %}
`devo admin access system revoke` sin `--permission` quita **todos** los permisos del sistema del usuario o del grupo. `devo admin owner set` entrega la organización a otro usuario. Compruebe los identificadores antes de añadir `--yes`.
{% endhint %}

## Solo Devolutions Server

<table><thead><tr><th width="230">TAREA</th><th>COMANDO</th><th width="210">ESPACIO DE TRABAJO</th></tr></thead><tbody><tr><td>Restaurar o purgar los usuarios eliminados</td><td><code>devo admin user trash list</code><br><code>devo admin user trash restore id:&#x3C;user-id> --yes</code><br><code>devo admin user trash purge id:&#x3C;user-id> --yes</code></td><td>Devolutions Server</td></tr><tr><td>Preconfigurar el método de dos factores de un usuario</td><td><code>devo admin user 2fa set --user-security-id &#x3C;id> --type google-authenticator --yes</code><br><code>devo admin user 2fa clear --user-security-id &#x3C;id> --yes</code></td><td>Devolutions Server</td></tr><tr><td>Inspeccionar los dominios de Active Directory</td><td><code>devo admin domain list</code><br><code>devo admin domain users --domain &#x3C;domain-name></code></td><td>Devolutions Server</td></tr><tr><td>Revisar o cambiar la configuración de autenticación</td><td><code>devo admin settings auth-modes get</code><br><code>devo admin settings auth-modes set --domain true --azure-ad false --yes</code><br><code>devo admin settings two-factor get</code><br><br><code>auth-modes set</code> activa o desactiva la autenticación de dominio, Azure AD y la autenticación personalizada (<code>--custom</code>) con <code>true</code> o <code>false</code>. Las opciones que omita conservan su valor. Devolutions CLI rechaza un cambio que no dejaría ningún modo de autenticación principal activado.</td><td>Devolutions Server</td></tr><tr><td>Revisar y registrar licencias</td><td><code>devo admin license list</code><br><code>devo admin license users list --serial-env &#x3C;VARIABLE_NAME></code><br><code>devo admin license register --serial-env &#x3C;VARIABLE_NAME> --yes</code><br><code>devo admin license trial start --yes</code><br><br>El número de serie o el JWT de la licencia procede de una variable de entorno (<code>--serial-env</code>) o de un archivo (<code>--serial-file</code>), nunca de la línea de comandos. <code>license list</code> muestra los números de serie en parte ocultos. Añada <code>--replace</code> para sustituir las licencias existentes, y <code>--auto-assign true</code> para asignar automáticamente las licencias compatibles a los usuarios nuevos.</td><td>Devolutions Server</td></tr><tr><td>Revisar el acceso privilegiado</td><td><code>devo admin pam account list</code><br><code>devo admin pam provider list</code><br><code>devo admin pam provider get --provider-id &#x3C;provider-id></code><br><br><code>pam account list</code> devuelve 100 cuentas por página de forma predeterminada (<code>--page</code>, <code>--page-size</code> hasta 500), opcionalmente para una carpeta (<code>--vault-id</code>). Los resultados no incluyen contraseñas.</td><td>Devolutions Server</td></tr><tr><td>Publicar las listas de revocación de Devolutions Gateway</td><td><code>devo admin gateway revocation-list publish --yes</code><br><br>Añada <code>--gateway-id &#x3C;gateway-id></code> para publicar la lista de una sola pasarela.</td><td>Devolutions Server</td></tr></tbody></table>

Devolutions Server selecciona los usuarios eliminados solo por identificador, y `devo admin user trash list` no toma allí ningún filtro de nombre. `devo admin domain list` no muestra los secretos de enlace del dominio.

{% hint style="danger" %}
`devo admin user trash purge` elimina al usuario de forma permanente. Esto no se puede deshacer.
{% endhint %}

## Bueno saberlo

* Cada comando `devo admin`, con todas sus opciones, está en la [referencia de comandos](/cli/es/referencia/commands.md).
* Añada `--output json` para pasar los resultados a un script. Consulte [Leer los resultados como JSON](/cli/es/para-devops-y-administradores/automate/json-output.md).
* ¿Un comando dice que el espacio de trabajo no lo admite? Consulte [Un comando dice que el espacio de trabajo no lo admite](/cli/es/ayuda/troubleshooting/not-supported.md).

## Siguiente

* [Review activity logs](/cli/es/para-devops-y-administradores/manage/logs.md)
* [Manage vaults and entries](/cli/es/para-devops-y-administradores/manage/vaults-and-entries.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/cli/es/para-devops-y-administradores/manage/users-and-access.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.