Rollen

Eine Rolle legt fest, was jemand darf: Funktionen in CompanyGPT, Modelle, Agent-Fähigkeiten und Rechte in den Erweiterungen. Jede Person hat genau eine Rolle. Es gelten die Häkchen dieser einen Rolle; aus anderen Rollen wird nichts dazugerechnet. Wer keiner anderen Rolle zugeordnet ist, hat in der Regel die Rolle USER (in der Oberfläche auch „Nutzer“). Ist die automatische Rollenvergabe aktiv, kann Ihre Umgebung dafür eine andere Fallback-Rolle festlegen.

Sie finden die Rollen unter Zugriff → Rollen.

Rollenliste

Über der Liste erklärt die Seite, wie Entra-Gruppen zu Rollen werden. Der Kasten Role-Sync in diesem Tenant zeigt, ob die automatische Rollenvergabe aus Microsoft Entra ID aktiv ist, und wenn ja, mit Claim, Reihenfolge, Fallback-Rolle und Admin-Gruppe. Ist sie aus, steht dort Role-Sync ist aus. Rollen werden nur hier vergeben.

Spalte	Inhalt
ID	Name der Rolle
Beschreibung	Ihre Beschreibung, nur für Administratoren sichtbar
Nutzer	Anzahl der Personen mit dieser Rolle
Herkunft	System, Role-Sync, Manuell oder die Admin-Rolle

Mit ID oder Beschreibung suchen und dem Filter Herkunft grenzen Sie die Liste ein. Ein Klick auf eine Zeile öffnet die Rolle.

System-Rollen (ADMIN und USER) werden mit CompanyGPT ausgeliefert und lassen sich weder löschen noch umbenennen.

Rolle anlegen

Geben Sie im Abschnitt Rolle anlegen eine ID und optional eine Beschreibung ein.
Soll die Rolle zu einer Entra-Gruppe gehören, wählen Sie die Gruppe unter Aus Entra-Gruppe übernehmen. Die ID wird dann automatisch die Object-ID der Gruppe. Diese Auswahl gibt es nur, wenn die automatische Rollenvergabe über Entra-Gruppen läuft; sonst tragen Sie die Object-ID von Hand als ID ein.
Klicken Sie auf Anlegen.

Die neue Rolle startet mit den Funktionsrechten von USER (Reiter companyGPT). Nicht übernommen werden die Modellfreigaben von USER und die Erweiterungsrechte, die USER eigens hat; Rechte, die über Für alle freigegeben sind, gelten auch für die neue Rolle. Ist ein Anbieter unter Provider und Modelle eingeschränkt, sieht die neue Rolle dessen Modelle erst, wenn Sie sie ihr im Reiter Modelle & Provider freigeben. Passen Sie die Rolle danach auf der Detailseite an.

Rollen automatisch aus Entra ID vergeben

Eine Entra-Gruppe gibt nicht von selbst eine Rolle. Damit alle Mitglieder einer Entra-Gruppe eine Rolle bei der Anmeldung automatisch erhalten:

Legen Sie die Rolle an. Die ID muss exakt die Object-ID der Entra-Gruppe sein (Entra-Portal → Gruppen → Gruppe → Übersicht → Objekt-ID). Arbeitet Ihre Umgebung mit App-Rollen statt Gruppen, ist die ID der Wert der App-Rolle, zum Beispiel POWERUSER.
Lassen Sie die Rolle von innFactory für Ihre Umgebung registrieren. Ohne diese Registrierung bekommt niemand die Rolle automatisch.
Legen Sie Rechte, Modelle und Agent-Fähigkeiten der Rolle fest.
Die Personen melden sich neu an. Erst dann haben sie die Rolle, und sie bekommen sie bei jeder Anmeldung wieder.

Administratoren behalten ADMIN. Wer in mehreren registrierten Gruppen ist, bekommt die Rolle, die in der Registrierung zuerst steht.

Detailseite einer Rolle

Die Detailseite hat die Reiter Überblick, companyGPT, Modelle & Provider, Erweiterungen und Mitglieder sowie die Gefahrenzone Rolle löschen.

Überblick

Den Namen ändern Sie mit Umbenennen. Das geht nur, solange für die Rolle noch nichts eingestellt ist (Modelle, Fähigkeiten, Rechte, Freigaben), denn diese Einstellungen blieben sonst beim alten Namen zurück. Legen Sie in diesem Fall eine neue Rolle an.
Beschreibung erklärt, wofür es die Rolle gibt. Sie ist nur für Administratoren sichtbar.
Dazu kommen die Herkunft, die Entra-Zuordnung mit Entra-Gruppe und Mitglieder in Entra sowie Hinweise, etwa dass Role-Sync manuelle Zuweisungen bei der Anmeldung überschreibt.

companyGPT

Hier legen Sie fest, was Personen mit dieser Rolle in CompanyGPT dürfen. Die Häkchen der Funktionen und der Admin-Rechte gelten sofort; dafür ist kein Speichern-Knopf nötig. Pro Funktion bietet die Seite nur die Aktionen an, die CompanyGPT dafür unterstützt.

Funktion	Aktionen
Agenten	Nutzen, Erstellen, Teilen, Öffentlich teilen
Prompts	Nutzen, Erstellen, Teilen, Öffentlich teilen
Skills	Nutzen, Erstellen, Teilen, Öffentlich teilen
MCP-Server	Nutzen, Erstellen, Teilen, Öffentlich teilen, OBO konfigurieren
Remote-Agenten	Nutzen, Erstellen, Teilen, Öffentlich teilen
Marktplatz	Nutzen
Erinnerungen	Nutzen, Erstellen, Bearbeiten, Lesen, Abmelden (sich von der Funktion abmelden)
Dateisuche	Nutzen
Dateizitate	Nutzen
Code ausführen	Nutzen
Websuche	Nutzen
Mehrfach-Unterhaltungen	Nutzen
Temporärer Chat	Nutzen
Geplante Chats	Nutzen, Erstellen
Lesezeichen	Nutzen
Geteilte Links	Erstellen, Teilen, Öffentlich teilen
Personenauswahl	Nutzer sehen, Gruppen sehen, Rollen sehen

Öffentlich teilen entscheidet, ob Mitglieder Inhalte für die ganze Umgebung freigeben dürfen und nicht nur für einzelne Gruppen.
Remote-Agenten erlaubt, Agents von außen über die API anzusprechen.
OBO konfigurieren erlaubt, bei MCP-Servern den On-Behalf-Of-Zugriff einzurichten, bei dem ein Tool im Namen der angemeldeten Person auf ein Drittsystem zugreift. Vergeben Sie dieses Recht bewusst.
Geplante Chats sind Chats mit einem Agent, die zu festen Zeiten laufen. Ob die Funktion überhaupt eingeschaltet ist, steuern Sie unter Agent-Laufzeit.

Einige Häkchen sind gesperrt und mit einem Hinweis versehen. Diese Werte kommen aus der Grundkonfiguration oder werden von CompanyGPT bei jedem Neustart zurückgesetzt. Meist betrifft das die Rollen USER und ADMIN. Der Hinweis nennt den Ausweg, etwa eine eigene Rolle oder Memories pro Rolle oder Gruppe auszuschalten. Änderungen an der Grundkonfiguration nimmt innFactory vor.

Admin-Rechte in LibreChat

Dieser Abschnitt vergibt die Rechte für den Administrationsbereich, etwa Zugang zum Admin-Bereich, Rollen verwalten oder Audit-Protokoll ansehen. Die vollständige Liste mit Erklärungen steht unter Direkt-Grants. Entziehen fragt nach; Personen mit der Rolle verlieren das Recht sofort.

Darunter folgen die Einstellungen der Rolle für Memories, Aufbewahrung, Agent-Builder und Datei-Uploads. Jeder dieser Abschnitte hat einen eigenen Knopf Speichern; erst damit übernehmen Sie die Änderung, sonst geht sie verloren. Die Einstellungen entsprechen den Einstellungen unter Agent-Laufzeit → Pro Rolle oder Gruppe. Welche Fähigkeiten Agents für diese Rolle haben, steht unter Agent-Fähigkeiten.

Modelle & Provider

Welche Anbieter und Modelle Personen mit dieser Rolle sehen, einschließlich der aus der Grundkonfiguration geerbten. Aufklappen zeigt die einzelnen Modelle; wer etwas wegnimmt, wird vorher gefragt. Alle Rollen auf einmal bearbeiten Sie unter Provider und Modelle → Modellzugriff.

Erweiterungen

Die Rechte dieser Rolle in den Erweiterungen, zum Beispiel Übersetzen nutzen oder Microsoft 365 nutzen. Ein Häkchen vergibt das Recht, Entfernen fragt nach. Ein entzogenes Recht ist sofort weg; Erweiterungen speichern die Antwort höchstens eine Minute zwischen.

Rechte der Klasse Admins automatisch hat ADMIN immer.
Rechte der Klasse Nur ausdrücklich bekommt niemand automatisch. Vergeben können sie nur Administratoren mit der Rolle ADMIN; für alle anderen sind solche Rechte ausgeblendet, solange die Rolle sie nicht hat.
Ist ein Recht über Für alle freigegeben, steht das dabei. Das ändern Sie unter Erweiterungen.

Alle Rechte mit Bedeutung beschreibt Erweiterungen.

Mitglieder

Hier weisen Sie die Rolle Personen zu:

Geben Sie im Abschnitt Person hinzufügen in das Feld Person suchen (Name oder E-Mail) mindestens zwei Zeichen ein.
Klicken Sie in der Trefferliste auf den Eintrag „Name (E-Mail) hinzufügen“.

Wer hier zugewiesen wird, verliert seine bisherige Rolle. Entfernen Sie Personen aus der Rolle, bekommen sie die Rolle USER.

Bei der Rolle USER selbst funktioniert das Hinzufügen nicht, und Entfernen wird nicht angeboten. Wer USER bekommen soll, den entfernen Sie aus seiner bisherigen Rolle.

Rolle löschen

Rolle löschen in der Gefahrenzone zeigt vorher, wie viele Personen die Rolle haben. Alle Mitglieder bekommen danach die Rolle USER. Mit der Rolle gelöscht werden ihre Einstellungen (auch Modell-Einschränkungen), ihre Freigaben und ihre Rechte in CompanyGPT und den Erweiterungen. Das lässt sich nicht rückgängig machen.