# Support-Zugriff gewähren mit keenauth support-access-grants

`keenauth support-access-grants` verwaltet den zeitlich begrenzten Zugriff, den Sie den Support-Mitarbeitenden von KeenAuth für eine Umgebung gewähren. Eine Freigabe hat einen Umfang, eine Dauer von 1 bis 72 Stunden und die Referenz Ihres Support-Tickets. Sie wird nie bearbeitet; Sie können sie nur widerrufen. Jede Nutzung einer Freigabe durch Mitarbeitende wird im Audit-Log der Umgebung protokolliert.

## Wer Zugriff gewähren kann

Zum Erstellen und Widerrufen einer Freigabe ist eine `keenauth login`-Sitzung eines Dashboard-Benutzers mit der Rolle `owner` oder `admin` nötig, zusammen mit einer Bestätigung per Step-up innerhalb der letzten 300 Sekunden. Ein API-Schlüssel oder ein Maschinenclient erhält `403 insufficient_permissions`; die CLI gibt den Fehler aus und endet mit Code 3. Zum Auflisten und Lesen von Freigaben genügt die Berechtigung `support-access-grants:read`.

## Befehle

```sh
keenauth support-access-grants list --status active
keenauth support-access-grants get sag_01j9z3k4m5n6p7q8r9s0t1v2w3
keenauth support-access-grants create --data @grant.json
keenauth support-access-grants delete sag_01j9z3k4m5n6p7q8r9s0t1v2w3 --yes
```

`create` liest den Anfragekörper aus `--data` (`@file.json`, oder `-` für die Standardeingabe):

```json
{
  "scope": "read",
  "duration_hours": 24,
  "ticket_ref": "SUP-1234",
  "allowed_regions_of_staff": ["eu"]
}
```

| Feld | Beschreibung |
|---|---|
| `scope` | `read` (nur lesen) oder `read_write_config` (Konfigurationsänderungen; Mitarbeitende schreiben nie Benutzerdaten). |
| `duration_hours` | 1 bis 72. |
| `ticket_ref` | Die Referenz Ihres Support-Tickets: 1 bis 200 druckbare ASCII-Zeichen, kein führendes oder nachgestelltes Leerzeichen. |
| `allowed_regions_of_staff` | Optional, nur im Enterprise-Tarif: `eu`, `us`. Beschränkt den Zugriff auf Mitarbeitende, die sich in diesen Regionen befinden. |

`delete` widerruft die Freigabe vor ihrem Ablauf. Der Befehl fragt nach einer Bestätigung; ohne Terminal müssen Sie `--yes` übergeben, andernfalls endet der Befehl mit Code 2. Eine bereits widerrufene oder abgelaufene Freigabe zu widerrufen, ändert nichts und gilt als erfolgreich.

Siehe die API-Referenz zu [Erstellen](/docs/api/management/support-access-grants/create) und [Löschen](/docs/api/management/support-access-grants/delete).