用途：管理 Celigo 账户中的用户（内部称 ashare），即某人对账户的访问授权，定义其可查看和操作的范围。用户属于账户管理资源，而非流程或集成资源。
主要能力：四种访问策略。administrator 拥有完整账户管理权，可编辑所有资源、管理用户和账户设置，但不能转移所有权或管理所有者权限；manage（账户级）可编辑全部集成与资源，但不能查看或编辑账户设置、邀请或管理用户；monitor（账户级）只读加运维权限，可查看所有集成、按需运行流程、重试或解决错误，默认不能修改配置、启停流程或查看连接与 API 令牌，可通过 allowToEditRetryData 允许编辑重试数据；integration-only 不设账户级 accessLevel，通过 integrationAccessLevel[] 按集成授予 monitor 或 manage，用户只能看到被授权的集成。常见混合模式：accessLevel 设为 monitor 作为全局只读基线，再用 integrationAccessLevel 对特定集成授予 manage。有效权限为两个字段的并集，同一集成取较高级别；账户级 accessLevel 覆盖之后新建的所有集成，而 integrationAccessLevel[] 只对显式列出的集成生效，需随新增集成手动扩展。
使用方式：先审计现状，用 celigo users list 和 celigo users get <id> 查看 accessLevel、integrationAccessLevel、accepted 与禁用状态。邀请用户用 celigo users invite --email user@example.com --access-level monitor，集成级用 --integration <intId>=manage，可加 --force-mfa 或 --force-sso。修改用 celigo users set <id> accessLevel=manage、accountMFARequired=true、allowAccessToAPIM=true、allowToEditRetryData=true 等；复杂数组改动用 GET 到文件、编辑后再 celigo users update <id> < user.json。禁用用 set disabled=true，删除用 delete <id>，禁用优先于删除。
Celigo 支持访问：账户可让官方支持人员登录排障，表现为 Users 页面一行内置 Celigo Support，默认禁用，由管理员切换。它是独立资源（support share，非 ashare），每账户只有一个且无 id，不参与邀请和列表；管理员可直接启用（upsert，重复调用会覆盖当前授权）、禁用或查看状态。访问模型与用户相同，但过期时间强制必填（disableAfter），到点自动撤销。allowAllToInviteSupport 控制非管理员能否启用支持访问；Celigo Support invite permission 是某非管理员可对其已有权限的集成启用支持访问的权限，持有该权限本身并不授予支持访问。
限制与注意：没有 users create，添加用户只能通过 invite（API 为 POST /v1/invite）；邀请会发邮件，用户在接受前 accepted 为 false。PUT 会抹掉未提交字段，须先 GET 再改再 PUT。同时省略 accessLevel 和 integrationAccessLevel 会创建无可用权限的邀请。accessLevel 为 manage 或 administrator 时 integrationAccessLevel 被忽略。待接受邀请占用用户名额，应及时删除过期邀请。禁用保留记录但阻止登录与 API 使用。MFA 和 SSO 为每用户每账户设置，SSO 需账户先配置。内部 API 资源是 ashares。Celigo 支持访问不出现在 users list 中，也不能按 id 获取。常见错误包括 409 已存在用户、403 令牌非管理员、404 用户 ID 错误、422 校验失败，以及集成 ID 错误导致用户看不到集成。更多信息见 https://www.skills.sh/celigo/ai/managing-users。