420.1.3・Users, Project Roles, and Permissions 16%
管理團隊成員
把對的人放進對的 role、讓 request 自動找到負責人、讓敏感 request 只給該看的人看。
官方考綱原文（這一節會考的範圍）
- Add and remove agents and collaborators to a project using the “Service Desk Team” project role.用 Service Desk Team role 新增與移除 agent、collaborator
- Add a collaborator to facilitate internal discussion on tickets.加 collaborator 協助內部討論
- Manage project permissions using project role assignment.用 project role 管理權限
- Set the project lead and default assignee.設定 project lead 與 default assignee
- Manage how assignees are set on requests (manually, project default assignee, component lead, preset value for assignee on request form, automation).管理指派方式：手動、預設、component lead、表單預設、automation
- Use project roles in issue-level security to restrict ticket access.在 issue security 用 role 限制存取
- Troubleshoot access issues with product, project, permission, issue-level access.排查產品、project、權限、issue 層級的存取問題
3 分鐘速覽
加人、指派與限制誰看得到
- 加 agentInvite team：輸入 email → 加進 Service Desk Team role。Project admin 只能加「已經有 JSM 授權」的人；全新的 agent 要 org admin。
- 加 collaborator把有 Jira 授權（無 JSM 授權）的人加進 Service Desk Team role。
- Role 成員 vs group 成員Project admin 能管 role 成員；group 成員只有 Administer Jira 才能改。
- Project lead 與 default assigneeProject admin 可改；default assignee 只能是 Unassigned 或 project lead。
- 指派的五種方式手動、project default assignee、component lead、request form 上預設（隱藏）的 Assignee、automation。
- Issue security 用 roleSecurity level 加 Service Desk Team role（或 reporter）就能只讓 agent 與提單人看到。
資料來源（5）有疑慮時點開看官方原文
- Add an agent to your service space
Space administrators can add agents who already have a license (e.g. they've been added to another service space) to their service space.
- Add an agent to your service space
Only organization admins can add anyone (new and existing agents) to a service space.
- Manage service project role memberships
Since group membership can only be edited by users with the Administer Jira global permission, project administrators may prefer to assign users, rather than groups, to their project roles.
- Edit your service space details
Note that the default assignee can only be either Unassigned or the Space lead.
- Grant users access to security levels in a work item security scheme
Reporter - this grants access to anyone listed in a work item's Reporter field
團隊成員
Agent、collaborator 與 role
- Invite teamService project 側欄 → Invite team → 輸入 email → Invite。被邀請的人進 Service Desk Team role。
- 誰能邀請誰Project admin：只能加已經有 JSM 授權的人（例如已是別的 project 的 agent）。Org admin：可以加任何人（新 agent 會佔新授權）。
- People and accessSpace settings → Access → People and access：把 user 或 group 加進 role，一個人可以在多個 role。
- 移除授權Jira admin：Settings → User management → 關掉 JSM 存取。授權釋放、從 jira-service-project user group 移除，所有 service project 都不能再當 agent。
Role 還是 group？
官方：group 成員只有 Administer Jira 能改，所以 project admin 通常偏好直接把使用者加進 project role。
自我檢查：先在心裡回答，再點開對答案
Q1Project admin 想把一位從沒用過 JSM 的新同事加成 agent，Invite team 失敗。為什麼？看答案
Project admin 只能加已經有 JSM 授權的人；新 agent 要 org admin 先給產品存取（或由 org admin 邀請）。
Q2想讓開發人員只能在 request 留 internal comment，要把他加到哪個 role？看答案
Service Desk Team role（他沒有 JSM 授權，所以是 collaborator）。
資料來源（5）有疑慮時點開看官方原文
- Add an agent to your service space
Space administrators can add agents who already have a license (e.g. they've been added to another service space) to their service space.
- Add an agent to your service space
Only organization admins can add anyone (new and existing agents) to a service space.
- Add an agent to your service space
Your agent will be added to the Service Space Team role and will receive an email with a link to the service space.
- Manage service project role memberships
Since group membership can only be edited by users with the Administer Jira global permission, project administrators may prefer to assign users, rather than groups, to their project roles.
- Unlicense agents
The agent's license is released, and they are removed from the jira-service-project user group.
指派
Request 會被指派給誰
| 方式 | 在哪設 | 適合 |
|---|---|---|
| 手動 | Queue 或 issue view 的 Assignee | 臨時分派、Assign to me |
| Project default assignee | Space settings → Details | 沒有其他規則時的最後兜底；只能 Unassigned 或 project lead |
| Component lead | Components 設定（component 的 default assignee） | 依服務或模組分流 |
| Request form 預設值 | Request type 的 Request form：加 Assignee 欄位、設預設值、勾 Hide from portal | 某種 request 固定給某人；customer 看不到也改不了 |
| Automation | Automation rule：Assign issue（含 balanced workload、round-robin） | 輪流指派、依條件指派 |
表單預設 Assignee 需要權限
官方：Service Desk Customer - Portal Access 必須有 Assign work items 權限，隱藏的 Assignee 欄位才能在 customer 提單時生效。
自我檢查：先在心裡回答，再點開對答案
Q1Project lead 是 Mia，project admin 想把 default assignee 設成 Leo，做得到嗎？看答案
不行：default assignee 只能 Unassigned 或 project lead。要嘛把 project lead 改成 Leo，要嘛用 component lead、表單預設或 automation。
資料來源（5）・1 點無官方原文有疑慮時點開看官方原文
- 找不到官方原文：建立時的指派優先順序沒有官方文件說明表單預設 Assignee、component lead、project default assignee 三者的先後；各項本身都有依據，順序屬推論。
- Edit your service space details
Note that the default assignee can only be either Unassigned or the Space lead.
- What are Jira components?
Each workstream lead can be assigned as the component owner, manage the work items linked to the component, and choose who is auto-assigned to those work items.
- Hidden fields and unsupported fields in request types
These fields can be added to the request type and given a preset value, but you cannot make them visible on the portal:
- Customize Jira Service Management permissions
This permission is mandatory for the Assignee field to work.
- Jira automation actions
If a work item passes a restriction specified in JQL, assign it to a user from a specified list of users based on:
Issue security
用 role 限制誰看得到 request
- Issue security scheme（Jira admin 建）→ 定義 security level → 每個 level 加入「誰能看」：project role（例如 Service Desk Team）、Reporter、Assignee、group、user／group custom field。
- 把 scheme 套到 service project 後，可以設 default security level，讓所有新 request 預設只有 agent 與 reporter 看得到。
- Request participant 與 organization 成員也受 security level 限制：level 沒包含他們，他們就看不到。
- 要讓 customer 提單後看得到自己的 request：level 要包含 Reporter（否則能建立卻看不到）。
考題長相
「HR 的 request 只有 HR agent 與提單人能看」→ 建 security level，成員放 HR agent 的 role（或 group）＋Reporter，設成該 project 的 default level。
資料來源（5）有疑慮時點開看官方原文
- What are work item security schemes?
While permission schemes manage who can access a space, work item security schemes let you control who can see specific work items within that space.
- Grant users access to security levels in a work item security scheme
Reporter - this grants access to anyone listed in a work item's Reporter field
- Create a new work item security scheme and security levels
If you'd like to apply this level to all work items in the spaces that use this scheme, select Default in the Actions column.
- What are request participants?
For example, if an administrator customizes requests so that only reporters can view them, then request participants won't be able to view the request.
- Customize Jira Service Management permissions
Otherwise, customers might be able to create work items but not view them after they've been created.
排查
為什麼他看不到、做不到
| 症狀 | 先查 |
|---|---|
| 新同事看不到 queue | Product access：他有 JSM 授權嗎？在 Service Desk Team role 嗎？ |
| Collaborator 無法回覆 customer | 正常：collaborator 只能 internal comment；要 agent 授權 |
| Customer 進不了 portal | Channel access 是 Restricted 而他沒被邀請？site 不允許建帳號而他沒帳號？ |
| Customer 提單成功但看不到自己的 request | Issue security level 沒包含 Reporter |
| Participant 看不到被分享的 request | Issue security level 沒包含 participant（或 organization） |
| 其他 Jira 使用者想看 service project 的 issue | Jira admin 在 permission scheme 把 Browse Projects 給 Application access → Any logged in user |
| 其他 Jira 使用者想留言 | 把 Add comments 給 Any logged in user；他們只能 internal comment，不能公開回覆 |
資料來源（5）有疑慮時點開看官方原文
- What are space roles in Jira Service Management?
These are the only permissions a collaborator can have and if admins try to give the collaborator additional permissions, they won't be supported due to their role limitations.
- Change service space customer permissions
Only customers directly invited to the current service space by an agent or admin can access the portal and send requests by portal or email.
- Customize Jira Service Management permissions
Otherwise, customers might be able to create work items but not view them after they've been created.
- Give Jira users permission to view service project work items
You must be a Jira administrator to give Jira users permission to view service space work items.
- Give Jira users permission to comment on service project work items
Other Jira users can make internal comments, but cannot share comments with your customers.
易錯觀念
考題愛用的錯誤說法
Project admin 可以從 Invite team 加任何人當 agent。
只能加已有 JSM 授權的人；新 agent 要 org admin。
Default assignee 可以設成任何 agent。
只能 Unassigned 或 project lead。
Project admin 能把人加進 group 來給權限。
Group 成員只有 Administer Jira 能改；project admin 改的是 role 成員。
給非 agent 的 Jira 使用者 Add comments 權限，他們就能回覆 customer。
只能 internal comment，不能分享給 customer。
移除 agent 授權只影響一個 service project。
授權是全站的：所有 service project 都不能再當 agent。
資料來源（5）有疑慮時點開看官方原文
- Add an agent to your service space
Only organization admins can add anyone (new and existing agents) to a service space.
- Edit your service space details
Note that the default assignee can only be either Unassigned or the Space lead.
- Manage service project role memberships
Since group membership can only be edited by users with the Administer Jira global permission, project administrators may prefer to assign users, rather than groups, to their project roles.
- Give Jira users permission to comment on service project work items
Other Jira users can make internal comments, but cannot share comments with your customers.
- Unlicense agents
This means that they won't be able to work in any service space on that site.
動手做
實作 Lab：放人進 role、設預設指派、鎖住一張 request
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：把 Kim 放進 Service Desk Team 當 collaborator、試 default assignee 與表單預設 Assignee，再用 issue security level 讓一張 request 只有 agent 與提單人看得到。
這個 Lab 對應的考點
Agent 與 collaborator 都進 Service Desk Team role，差在 JSM 授權；default assignee 只能 Unassigned 或 project lead；表單預設 Assignee＝隱藏欄位；security level 沒包含 Reporter，customer 就看不到自己的 request。
準備
- 先把 Kim 從 HELP 的 Service Desk Team role 移除（步驟 1 會加回）。
- HELP 有一張 Cara 提的 request（420.1.1 那張即可）。
步驟
- 你應該看到：Kim 出現在 Service Desk Team。這裡管的是 role 成員；group 成員只有 Jira admin 能改。
- 你應該看到：Kim 能看、能加 internal comment，沒有回覆 customer 的選項：她是 collaborator。
- 你應該看到：Default assignee 只有 Unassigned 與 Space lead（project lead）兩個選項，不能直接選 Leo。
- 你應該看到：通常會自動指派給 Leo：要讓某人當預設，就把他設成 project lead。
- 你應該看到：Cara 的表單上看不到 Assignee；新 request 指派給 Ana（表單預設優先於 project default assignee）。
- 你應該看到：HELP 已套用 HELP Security；Agents only 底下只有 Service Desk Team。
- 你應該看到：Cara 看不到自己提的這張 request；Leo、Kim（都在 Service Desk Team）仍看得到。
- 你應該看到：Cara 又看得到了。Security level 幾乎都要加 Reporter。
試試看：改一個設定，觀察差異
T1在這張 Agents only（含 Reporter）的 request 把 Dan 加成 request participant，Dan 打開 portal。看結果
Dan 看不到：participant 也受 issue security 限制，level 沒包含他就看不到。做完移除 Dan。
T2（想像，不實際做）Leo 只是 project admin、不是 org admin，用側欄 Invite team 邀一個從沒用過 JSM 的 email。看結果
加不進來：project admin 只能加已經有 JSM 授權的人；全新的 agent 要 org admin。
T3在 Space permissions 把 Browse Projects 加給 Application access → Any logged in user，請一位只有 Jira 存取、不在 HELP 任何 role 的人（或暫時把 Kim 移出 role）打開 HELP。看結果
他看得到 HELP 的 work item，但只能 internal comment（加了 Add comments 時），不能公開回覆。做完把 Any logged in user 移除、Kim 加回 role。
心像錨點：閉上眼睛想一次這個畫面
Space settings → Details 的 Default assignee 下拉選單：只有 Unassigned 和 Space lead 兩行。旁邊那張 request 的鎖頭：沒有 Reporter，Cara 打開自己的單是空的。
收尾
- 把 Cara 的 request 的 security level 清空；HELP 改回不使用 work item security scheme。
- Default assignee 改回 Unassigned、Space lead 改回你。
- Request type 的 Request form 移除預設的 Assignee。
- 確認 Kim 在 Service Desk Team role；Space permissions 沒有 Any logged in user。
資料來源（4）有疑慮時點開看官方原文
- Edit your service space details
Note that the default assignee can only be either Unassigned or the Space lead.
- Customize a request type
automatically fill out a field and hide it from customers in the request form (and portal) by checking the box next to Use preset value and hide from portal
- Add an agent to your service space
Only organization admins can add anyone (new and existing agents) to a service space.
- What are request participants?
Request participants follow work item level security schemes.
一分鐘腦內整理
讀完了？用這張收攏整節
Team role 收兩種人有 JSM 授權＝agent；只有 Jira 授權＝collaborator。
預設指派只有兩個選項Unassigned 或 project lead。
看不到先查 ReporterSecurity level 有沒有包含提單人。
Agent、collaborator 與 role
- Agent 與 collaborator 都進 Service Desk Team role，差在有沒有 JSM 授權。
- 新 agent 要 org admin。
Request 會被指派給誰
- Default assignee 只能 Unassigned 或 project lead。
- 表單預設 Assignee＝隱藏欄位＋Portal Access 要有 Assign 權限。
用 role 限制誰看得到 request
- Security level 用 role＋Reporter 最常見。
- Participant 也受 security level 限制。
為什麼他看不到、做不到
- 排查順序：產品存取 → role → permission scheme → customer permissions → issue security。
本節練習
做題
題目載入中…
官方來源（本節依據）
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。考試沿用 project／issue 等用語，現行 Jira Service Management 已改稱 space／work item；customer 端仍叫 request。