管理 Celigo 账号用户时用最小权限邀请、授权、改权限…

适用于添加团队成员、变更权限、审计访问或管理 Celigo 用户生命周期的场景。

适用场景

解决思路

1. 审计当前用户：运行 `celigo users list` 列出账号所有用户，运行 `celigo users get <id>` 查看单个用户详情；检查 `accessLevel`、`integrationAccessLevel`、`accepted`（待接受邀请）和 `disabled` 状态。
2. 选择访问策略时遵循最小权限原则，并用决策矩阵：需要管理账号和管理用户选 `administrator` 且省略 `integrationAccessLevel`；需要编辑所有集成但不管理账号选 `manage` 且省略 `integrationAccessLevel`；需要查看所有、运行/重试 flows 但不编辑选 `monitor` 且省略 `integrationAccessLevel`；需要查看所有并管理特定集成选 `monitor` + `integrationAccessLevel=[{_integrationId, accessLevel: manage}]`；只能访问特定集成选省略 `accessLevel` 且只给 `integrationAccessLevel=[{_integrationId, accessLevel}]`。
3. 记住四种访问策略的具体含义：`administrator` 拥有完整账号管理权，可编辑所有资源、管理用户和更改账号设置，但不能转移所有权或管理 owner 权限；账号级 `manage` 可编辑所有集成和资源，但不能查看或编辑账号设置、邀请用户或管理其他用户；账号级 `monitor` 是只读加操作访问，可查看所有集成、运行 flows、排错（retry/resolve），但不能修改配置、启用/禁用 flows、查看 connections 和 API tokens，可选授予 `allowToEditRetryData`；`integration-only`（Custom）没有账号级 `accessLevel`，通过 `integrationAccessLevel[]` 按集成授予，每项指定集成 ID 和 `monitor` 或 `manage`，用户只看到被授予的集成。

适用边界 · 注意事项

• 没有 Celigo 账号、Celigo CLI 或相应产品访问权限时，无法执行这些用户管理操作。
• 当前 token 不属于管理员或 owner 时，邀请或更新用户会返回 403，不能完成管理员级操作。
• 账号尚未配置 SSO 时不能强制 SSO；需要排错 flows/integrations 或构建 flows/APIs 时，应改用相关技能而不是本用户管理流程。

经验正文