520.1.3・Atlassian organizations 25%
Admin 角色與委派
考你分清 org admin、site admin、user access admin、app admin，以及 Jira、Confluence 的 project／space admin 各能做什麼；並知道誰能指派誰、在哪裡授予與收回。
官方考綱原文（這一節會考的範圍）
- Delegate admin privileges to other org admins and product admins把 admin 權限委派給其他 org admin 與 app admin
- Recall the following five admin roles: org admins, Jira product admins, Jira project admins, Confluence product admins, and Confluence space admins記住五種 admin：org admin、Jira app admin、Jira project admin、Confluence app admin、Confluence space admin
- Understand and distinguish between the roles based on the product features they use and the tasks they perform依使用的功能與執行的工作，分辨各種角色
- Grant and revoke the org admin role授予與收回 org admin 角色
- Grant and revoke the product admin role for Jira Administration and Confluence授予與收回 Jira Administration 與 Confluence 的 app admin 角色
3 分鐘速覽
誰管什麼、誰能指派誰
- Org admin最高層級：管使用者、group、app 與安全。只有 org admin 能指派 org admin、site admin、user access admin。
- Site admin管理一個 site：在 site 加 app、管 Marketplace app。Centralized 體驗下不能邀請或修改使用者。
- User access admin管理某個 app 的使用者存取，但自己不會自動取得這個 app 的存取。
- App admin管理某個 app 的設定（Jira admin、Confluence admin），不能進 Atlassian Administration。Jira 的 app admin 只有 org admin 能指派。
- Project admin／Space admin只管一個 Jira space 或 Confluence space；由 app admin 那一層（或 space 本身的權限）指派。
- 用 group 授權授予 admin 角色會把人加進對應的 default group；反過來，把人加進 jira-admins-{site}、org-admins 等 group 也能授權。Site admin 例外。
資料來源（5）有疑慮時點開看官方原文
- What are the different types of admin roles?
Only organization admins can add or manage other organization admins.
- What are the different types of admin roles?
A user access admin doesn’t automatically get access to the app they administer.
- What are the different types of admin roles?
An app admin can administer settings in a specific app. They don’t have access to Atlassian Administration. With the exception of the Jira family, app admins can access the content within the app they administer.
- Give users admin permissions
Role: Organization admin, user access admin (only for the app they administer). Only an organization admin can make another user an app admin for Jira apps.
- Give users admin permissions
The same applies when you make someone an admin (except for site admin). We add the user to the default group for that admin role.
角色
Atlassian Administration 的四種 admin
| 能力（centralized） | Org admin | Site admin | User access admin | App admin |
|---|---|---|---|---|
| 看 organization 的使用者 | ✓ | ✓ | ✓ | ✗ |
| 設定 user access settings、更新 managed accounts | ✓ | ✗ | ✗ | ✗ |
| 指派 org admin、site admin、user access admin | ✓ | ✗ | ✗ | ✗ |
| 指派 app admin | ✓ | ✗ | ◐ 只限自己管的 app；Jira 除外 | ✗ |
| 建立 group、加減 group 成員 | ✓ | ✗ | ◐ 只限給自己 app 存取的 group | ✗ |
| 核准或拒絕 app 存取申請 | ✓ | ◐ 自己的 site | ✗ | ✗ |
| 在 organization 加 Atlassian app | ✓ | ◐ 自己的 site | ✗ | ✗ |
| 設定 app 本身的設定 | — | ✗ | ✗ | ✓ |
| 指派 project admin、space admin | ✗ | ✗ | ✗ | ✓ |
| SSO、user provisioning、密碼、兩步驟驗證、API keys | ✓ | ✗ | ✗ | ✗ |
| 看 audit log | ✓ | ✓ | ✗ | ✗ |
這張表要記兩個例外。第一，org admin 這個角色本身不給 app 存取、也不能改 app 設定；只是系統會自動給 org admin 每個 app 的 user 與 app admin 角色，而且可以被移除（表中以「-」表示）。第二，Jira 家族的 app admin 只有 org admin 能指派，user access admin 不行。
Original 體驗的不同
官方 original 體驗的角色說明只列 org admin、site admin、app admin 三種，沒有 user access admin。Site admin 可以管理自己 site 的使用者、group 與設定，也能指派 site admin 與 app admin（只限自己的 site）。Centralized 體驗則把這些人員管理工作收回 org admin 與 user access admin。
資料來源（6）有疑慮時點開看官方原文
- What are the different types of admin roles?
Site admins are responsible for managing a site in an organization. This includes adding new apps to the site and managing Marketplace apps installed on the site.
- What are the different types of admin roles?
Exception: For the Jira family, only an organization admin can make another user an app admin.
- What are the different types of admin roles?
For groups that only give access to apps they administer. Only an organization admin can modify a group that grants app admin for Jira.
- What are the different types of admin roles?
We give organization admins the user and app admin roles for every Atlassian app in their organization automatically, but these roles can be removed.
- What are the different types of admin roles?
The organization admin role on its own doesn’t grant app access or the ability to configure app settings.
- What are the different types of admin roles?
Organization admins and site admins can assign the site admin role or remove it from someone.
五種 admin
舊考綱：org、Jira、Jira project、Confluence、Confluence space
| Admin | 權限從哪來 | 做什麼 | 不能做什麼 |
|---|---|---|---|
| Org admin | Org admin 角色（org-admins 或 site-admins group） | 使用者、group、app 存取、安全政策、指派其他 admin | 角色本身不給 app 存取（系統另外自動給 user 與 app admin 角色） |
| Jira admin（Jira 的 app admin） | Jira Administration 的 App admin 角色（jira-admins-{site}），即 Administer Jira 全域權限 | 建 space、設定 work type、欄位、workflow 與各種 scheme | 不能管理使用者、匯入匯出資料、改系統 email；不會自動有 Jira 存取 |
| Jira project admin（space admin） | 該 space 的 Administer Spaces 權限 | 改 space 名稱、描述、lead、role 成員、components、versions | 只能看、不能換或改 scheme；改 space category 要 Jira admin |
| Confluence admin（Confluence 的 app admin） | Confluence 的 App admin 角色（confluence-admins-{site}），即 Confluence administrator 全域權限 | Confluence 全站設定與全域權限 | 有全域權限不代表有每個 space 的權限；要用 Recover Permissions 取得 space 的 admin |
| Confluence space admin | 該 space 的 Admin 角色或權限 | 管理這個 space 的存取、內容與設定 | 只管自己的 space |
讀這張表時抓住一句話：app admin 管「整個 app」、project／space admin 管「一個 space」，而且 Jira 與 Confluence 的 admin 都不能指派 org 層級的角色。
考題長相
「Confluence admin 打不開某個 space 的權限設定」→ Confluence administrator 全域權限不等於每個 space 的權限。到 Confluence administration 的 Space permissions，對那個 space 選 Recover Permissions，就會取得該 space 的 admin 權限。
資料來源（7）有疑慮時點開看官方原文
- What are global permissions, and what do they control?
If you’re an Organization admin or a Site admin, you’ll need to add yourself to the jira-administrators group.
- What are the different types of admin roles?
Exception: Jira app admins don’t get app access automatically. Grant access to Jira separately.
- Configure spaces
A space admin in Jira is someone who has the space-specific Administer Spaces permission, but not necessarily the Administer Jira global permission.
- Configure spaces
View, but not select nor edit the space's schemes (notification scheme, permission scheme, etc)
- Understand default groups
This group has the Confluence administrator global permission.
- Confluence permissions structure
Every space has its own independent set of permissions, managed by the space admin(s), which determine the access settings for different users and groups.
- How To Give a User or Group 'Admin' Permissions to All Spaces（KB）
Even if a user has 'Confluence Administrator' Global Permissions, they might not have the Space Level permissions they require.
授予與收回
怎麼把人變成 admin，再收回
- App adminDirectory → Users → 選人 → Grant access → 在該 app 的 Roles 欄選 App admin → Grant access。Jira 要改的是 Jira Administration 這一列，因為 Jira 家族共用同一個管理介面。
- User access admin同一個 Grant access 對話框，在該 app 選 User access admin。只有 org admin 能做。
- Site adminDirectory → Users → 選人 → ••• → Assign site admin role → 勾選 site → Grant。只有 org admin 能做；centralized 體驗下不能用 group 授予。
- Org adminDirectory → Users → 選人 → ••• → Assign organization admin role。只有 org admin 能做。
- 收回在使用者頁把角色改回、移除 admin 角色，或把他從對應的 default group 移除。
| Default group | 給的角色 |
|---|---|
| {app}-admins-{site}（例如 jira-admins-labjira） | App admin |
| {app}-user-access-admins-{site} | User access admin（不給 app 存取、不計費） |
| org-admins 或 site-admins（依建立時間只會有其中一個） | Org admin |
最後一列最容易誤會：在 centralized 體驗下，名為 site-admins 的 group 給的是 org admin 角色，不是 site admin。給 org admin 角色的 group 也不能被設成任何角色的 default group，免得有人在授予其他角色時意外成為 org admin。
Admin 不等於有 app 存取
Admin 角色不一定自動給 app 存取。Jira 的 app admin 要另外給 Jira 的 User 角色才能用 Jira；site admin 若要用 Jira 的功能，也需要 Jira 授權。
資料來源（5）有疑慮時點開看官方原文
- Give users admin permissions
To make someone an app admin for Jira, update the role for Jira Administration. This is because Jira apps share the same admin console. App admin is the only role that can be granted for Jira Administration.
- Give users admin permissions
You’ll only have one or the other, depending on when your organization was created. Regardless of the name, this group grants the organization admin role.
- Give users admin permissions
Ensure that the user has the appropriate app license assigned. For example, some Jira functionality requires a Jira license even if the user is in the 'site-admins' group.
- Understand default groups
Note, the group that grants the organization admin role can’t be a default group for any role. This prevents anyone from unintentionally becoming an organization admin when assigned another role.
- Site Administrator role（KB）
In the Centralized user management experience, the Site Admin role is not associated or linked to any group and therefore, Site Admin role assignment cannot be managed via a group.
委派
依工作挑最小的角色
| 情境 | 給什麼角色 | 為什麼不給更大的 |
|---|---|---|
| HR 專員只負責 Confluence 的帳號開通 | Confluence 的 user access admin | Org admin 會連安全政策與所有 app 都能改 |
| 團隊主管要改 Jira 的 workflow 與 scheme | Jira 的 app admin（只有 org admin 能給） | 給 org admin 會連使用者與安全設定都能管；app admin 只管 Jira 內的設定 |
| 要在某個 site 加新 app、管理 Marketplace app | 該 site 的 site admin | Site admin 不能改 organization 的安全設定 |
| 財務要付發票、改付款方式 | Billing admin | Improved billing 體驗下，org admin 本身也做不到這些 |
| 要設定 SSO、user provisioning | Org admin | 只有 org admin 能管這些安全設定 |
- 官方建議至少要有兩位 org admin，以免唯一的帳號遺失或被盜。
- 唯一的 org admin 已經離職聯絡不到時，請 Atlassian support 啟動角色轉移：support 會聯絡現任 admin 請他同意，三天內沒回應，驗證後就可以轉移。
- 多個 app instance 時，也可以把某些 instance 的管理工作交給團隊自己，敏感的 instance 則集中控管。
資料來源（5）有疑慮時點開看官方原文
- What are the different types of admin roles?
Different admin roles allow organizations to delegate responsibilities among several people, instead of relying on one person. It’s possible to hold multiple admin roles at the same time.
- Give users admin permissions
A user access admin’s main responsibility is managing access to the app they administer.
- Give users admin permissions
If an organization admin is no longer available, contact Atlassian support to initiate a role transfer process.
- Give users admin permissions
The current admin will be contacted for approval, and if there is no response within three days, the role transfer can proceed after verification.
- What are the benefits of multiple instances?
Separate instances allow you to delegate app administration for some instances and maintain centralized control of others.
易錯觀念
考題愛用的錯誤說法
User access admin 可以指派 Jira 的 app admin。
Jira 家族的 app admin 只有 org admin 能指派。
User access admin 只能為自己管理的其他 app 指派 app admin。
Site admin 可以邀請使用者到自己的 site（centralized）。
Centralized 體驗下 site admin 不能邀請或修改使用者；要再加 user access admin 角色。
Original 體驗的 site admin 才能管理自己 site 的使用者。
成為 user access admin 就能使用那個 app。
User access admin 不會自動取得 app 存取，也不因此計費。
要用 app，得另外給 User 角色。
App admin 可以到 Atlassian Administration 管理使用者。
App admin 不能進 Atlassian Administration。
App admin 只管 app 內的設定，例如 Jira 的 workflow。
把人加進 site-admins group 就是給他 site admin 角色（centralized）。
這個 group 給的是 org admin 角色；site admin 不能用 group 授予。
依建立時間，給 org admin 的 group 叫 org-admins 或 site-admins。
有 Confluence administrator 全域權限，就能管理每個 space 的權限。
不一定；要用 Recover Permissions 取得該 space 的 admin。
全域權限與 space 權限是兩層。
資料來源（6）有疑慮時點開看官方原文
- What are the different types of admin roles?
Exception: For the Jira family, only an organization admin can make another user an app admin.
- Site Administrator role（KB）
Can’t invite or modify any users even within the site they administer.
- What are the different types of admin roles?
A user access admin doesn’t automatically get access to the app they administer.
- Give users admin permissions
An app admin can manage settings for a specific app. They can’t access Atlassian Administration.
- Give users admin permissions
You’ll only have one or the other, depending on when your organization was created. Regardless of the name, this group grants the organization admin role.
- How To Give a User or Group 'Admin' Permissions to All Spaces（KB）
If you select "Recover Permissions," your user will be given 'Admin' rights.
動手做
實作 Lab：把 Kim 變成兩種 admin，再收回
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：親手授予 user access admin 與 Jira 的 app admin，從 Kim 的畫面看兩者能做和不能做的事，再收回。
這個 Lab 對應的考點
只有 org admin 能指派 org admin、site admin、user access admin 與 Jira 的 app admin；user access admin 不會自動有 app 存取；app admin 不能進 Atlassian Administration。
準備
- Kim 有 Jira 的 User 角色，不是任何 admin。
- Leo 有 Jira 的 User 角色，沒有 Confluence。
步驟
- 你應該看到：Kim 的角色清單多了 Confluence 的 User access admin；group 清單通常多了 confluence-user-access-admins-labjira。
- 你應該看到：Kim 看得到 organization 的使用者清單（user access admin 可以看使用者）。
- 你應該看到：成功：user access admin 可以把人加進自己管的 app。
- 你應該看到：做不到：Jira 家族的 app admin 只有 org admin 能指派。
- 你應該看到：Kim 的 group 清單多了 jira-admins-labjira；Jira Administration 只能選 App admin 這一種角色。
- 你應該看到：Kim 看得到 Jira 的全站設定（例如 Work items、System）。這是 app admin 的範圍，與 Atlassian Administration 無關。
- 你應該看到：兩個 admin group 從 Kim 的清單消失；Kim 的 ⚙ 通常只剩個人設定。
試試看：改一個設定，觀察差異
T1Atlassian Administration›Directory›Users → Leo → ••• → Assign site admin role → 勾 labjira → Grant。用 Leo 打開 admin.atlassian.com，試著邀請使用者。看結果
Leo 進得了 Atlassian Administration、能管 site 上的 app，但在 centralized 體驗下不能邀請或修改使用者。做完用 ••• → Modify site admin role 移除。
T2Directory›Groups → org-admins（或 site-admins）→ 把 Leo 加進去，再看 Leo 的頁面；看完立刻移除。看結果
Leo 變成 org admin：給 org admin 角色的就是這個 group，不論它叫 org-admins 還是 site-admins。這也是為什麼它不能被設成任何角色的 default group。
T3（想像，不實際做）Lab Org 唯一的 org admin（你）離職、帳號也無法登入。看結果
請 Atlassian support 啟動角色轉移：support 會先聯絡現任 admin，三天內沒回應，驗證後即可轉移。所以官方建議至少要有兩位 org admin。
心像錨點：閉上眼睛想一次這個畫面
Kim 的使用者頁 → Grant access 對話框：每個 app 一列、Roles 一欄；Jira Administration 那一列只有 App admin 可選，而且只有 org admin 按得動。
收尾
- 確認 Kim 只剩 Jira 的 User 角色；Leo 沒有 site admin、不在 org-admins／site-admins。
- Leo 的 Confluence User 角色可以保留，或移除回到原狀。
資料來源（4）有疑慮時點開看官方原文
- Give users admin permissions
Role: Organization admin, user access admin (only for the app they administer). Only an organization admin can make another user an app admin for Jira apps.
- Give users admin permissions
To make someone an app admin for Jira, update the role for Jira Administration. This is because Jira apps share the same admin console. App admin is the only role that can be granted for Jira Administration.
- Site Administrator role（KB）
Can’t invite or modify any users even within the site they administer.
- Give users admin permissions
You’ll only have one or the other, depending on when your organization was created. Regardless of the name, this group grants the organization admin role.
一分鐘腦內整理
讀完了？用這張收攏整節
組織管人、站台管 app、存取管誰能用、App 管設定Org admin、site admin、user access admin、app admin 各管一層。
Jira 的 admin 只有 org admin 能給User access admin 不行。
Admin 不等於能用要用 app，另外給 User 角色。
Atlassian Administration 的四種 admin
- 只有 org admin 能指派 org admin、site admin、user access admin。
- Jira 的 app admin 只有 org admin 能指派。
舊考綱：org、Jira、Jira project、Confluence、Confluence space
- Jira admin＝Administer Jira；Confluence admin＝Confluence administrator 全域權限。
- Project／space admin 只管一個 space。
怎麼把人變成 admin，再收回
- Grant access 對話框：App admin、User access admin；••• 選單：site admin、org admin。
- site-admins group（centralized）＝org admin 角色。
依工作挑最小的角色
- 委派原則：給剛好夠用的最小角色。
- Org admin 至少兩位；聯絡不到時請 support 轉移角色。
本節練習
做題
題目載入中…
官方來源（本節依據）
- What are the different types of admin roles?
- Give users admin permissions
- Understand default groups
- Organization admin abilities for cloud apps
- What are global permissions (Jira)?
- Configure spaces (Jira)
- Confluence permissions structure
- Site Administrator role in centralized and original user management（KB）
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。