520.3.1・User management & access control 34%
使用者如何取得存取
使用者可以被邀請、被同步，也可以依 app access settings 自己加入。這一節考你每一種入口怎麼設、什麼情境選哪一個，以及 centralized 與 original 兩種介面的差異。
官方考綱原文（這一節會考的範圍）
- Configure user access settings, including approved domains and user invites設定使用者存取設定，包含 approved domains 與 user invites（新版能力清單）
- Manage product access for both non-managed and managed accounts管理 non-managed 與 managed 帳號的 app 存取（新版能力清單）
- Administer users and groups across multiple Cloud organizations, sites, and products跨多個 organization、site、app 管理使用者與 group（新版能力清單）
- Understand the available methods to grant product access了解給予 app 存取的各種方式（舊版 1.3）
- Understand the site access settings that control how users get access to your site了解控制使用者如何取得 site 存取的設定（舊版 1.3）
- Configure approved domains / invitation links / user invites設定 approved domains、invitation links、user invites（舊版 1.3）
3 分鐘速覽
使用者從哪些入口拿到 app 存取
- 三種入口Admin 手動邀請、從 identity provider（IdP）或 Google Workspace 同步、設定 app access settings 讓人自己加入或互相邀請。
- Approved domains信任的 email 網域不用邀請就能加入；勾 Required 要 admin 核准，不勾就是即時加入。
- Any domain沒被核准的私有網域都套這一列；預設允許公開與私有網域的人申請存取。
- User invites每個 app 四選一：Invite anyone、Invite approved domains、Require admin approval、Don't allow invites；org admin 永遠能邀請。
- Invitation links每個 app 一條連結，拿到的人都能加入；30 天自動失效，可隨時關閉或重新產生。
- 兩種介面Centralized：Users 在 Directory 底下、一個 organization 一份使用者；Original：Users 在 Apps 底下的某個 site。
資料來源（5）有疑慮時點開看官方原文
- Control how users get access to apps
Configure app access settings to allow users to join your apps and invite other users.
- Control how users get access to apps
If you deselect this checkbox, users from the approved domain can join your app instantly.
- Control how users get access to apps
By default, we allow public and private domains to request access to your apps.
- Control how users get access to apps
As an added security measure, invitation links automatically expire after 30 days.
- Invite a user
You can identify which user management experience you have by checking where your Users page is located.
入口
三種入口、兩層存取
| 入口 | 誰做 | 使用者會怎樣 |
|---|---|---|
| 手動邀請（Invite users） | Org admin；centralized 下 user access admin 只能邀請到自己管的 app；original 下由 org admin 邀請到某個 site | 收到邀請 email；邀請時選的角色會把他放進對應的 default group |
| 從 IdP（SCIM）或 Google Workspace 同步 | Org admin 設定連線 | 帳號與 group 自動同步；同步進來的使用者不會收到邀請 email |
| App access settings（approved domains、user invites、invitation links） | Org admin 設定規則 | 使用者自己加入或被同事邀請，加入後就是計費使用者 |
邀請的對象是一個 email 地址，不是一個帳號。這個 email 若已經有 Atlassian account，他就用這個帳號登入；沒有的話會引導他建立。被邀請進來，不代表 organization 擁有這個帳號；要先驗證網域再 claim，才是 managed account（細節見 520.4.1）。
考題長相
「新進員工都用公司 email，希望他們不用等 admin 邀請就能用 Confluence」：設定 Approved domains 並取消 Required。「希望同事之間能互相邀請，但只限公司網域」：User invites 選 Invite approved domains。
資料來源（5）有疑慮時點開看官方原文
- Invite a user
When you invite a user, you’re inviting a specific email address to your organization.
- Invite a user
When you invite a user to your organization, your organization doesn’t own their account.
- Invite a user
Select roles for the apps that they need access to. We’ll add users to the default groups for the roles you assign.
- Invite a user
The user was provisioned from an identity provider through SCIM or synced from Google Workspace
- Control how users get access to apps
Users that join your apps as a result of your app access settings become licensed users.
Approved domains
核准網域與 Any domain
- 位置Atlassian Administration›Apps›App access settings → Add domain。
- 設定輸入網域 → 選這個網域的人可以拿到哪些 app 的哪個角色 → 決定 Required（要核准）→ 選何時通知 org admin → Save。
- Any domain沒被核准的私有網域，一律套「Any domain」這一列。可以讓私有網域的人直接加入、只能申請，或不准申請；也可以勾 Required 擋住公開網域（gmail.com 這類）。
- 使用者端的條件從 approved domain 加入的人，要先建立 Atlassian account 才能登入，而且每 6 個月要重新驗證帳號。
Approved domains 的用途有兩種：核准自己公司的網域，讓員工 onboarding 更省事；或核准合作客戶的網域，讓對方一直都能取得存取。但取消 Required 之後，加入的人一進來就是計費使用者，超過 user limit 時 Atlassian 會寄 email 通知。
資料來源（5）有疑慮時點開看官方原文
- Control how users get access to apps
You can approve an email domain that you trust, so users from that domain can access your apps without an invitation.
- Control how users get access to apps
Select the Required checkbox if you want to approve requests for access to that app.
- Control how users get access to apps
Users from private domains that you haven’t approved are subject to the “Any domain” setting to access your apps.
- Control how users get access to apps
want to mark the required checkbox to prevent public email domains from accessing your apps.
- Control how users get access to apps
Choose when organization admins are notified of new users.
User invites
現有使用者能不能邀請別人
| 選項（Existing user permissions） | 一般使用者能做什麼 | 要 admin 核准嗎 |
|---|---|---|
| Invite anyone | 邀請任何網域的人 | 不用；最開放 |
| Invite approved domains | 只能邀請 approved domain 的人 | 不用 |
| Require admin approval | 不能直接邀請；可以替自己或替別人「申請」存取 | 要，org admin 核准申請 |
| Don't allow invites | 不能邀請，也不能申請 | 最封閉；適合公司已經有 ITSM、helpdesk 申請流程 |
這個設定是「每個 app 各選一個」。不論選哪一個，org admin 仍然可以邀請；centralized 介面下 user access admin 也可以。選 Don't allow invites 時，還可以自訂使用者嘗試邀請時看到的訊息，例如請他到 helpdesk 開單。
考題長相
「公司有正式的 IT 申請流程，不希望使用者自己邀請或申請存取」：Don't allow invites。「想控制誰能進來，但公司沒有正式申請流程」：Require admin approval（使用者送出 access request，由 admin 核准，見 520.3.2）。
資料來源（5）有疑慮時點開看官方原文
- Control how users get access to apps
It allows users to invite anyone from any email domain to your product. An organization admin doesn’t need to approve access for the new user.
- Control how users get access to apps
Users can invite anyone from an approved domain (see Approved domains above).
- Control how users get access to apps
Users can’t invite anyone to your product, but they can request access to your product for themselves or on behalf of someone else.
- Control how users get access to apps
Users can’t invite anyone or request access to your product. Organization admins can still invite users.
- Control how users get access to apps
Organization admins and user access admins (centralized user management experience) will still be able to invite users.
Invitation links
一條連結讓人加入某個 app
- 產生Apps›App access settings›Invitation links → 打開某個 app 的 toggle，連結會出現在 toggle 下方 → 複製並分享。
- 誰能用拿到連結的任何人都能加入你選的 app，所以只分享給信任的人。
- 失效連結 30 天後自動失效；也可以隨時關掉 toggle 讓連結作廢，或重新產生一條新的。
| 想要 | 用哪一個 |
|---|---|
| 整個公司網域的人都能自助加入 | Approved domains |
| 讓專案團隊、外包或客戶很快加入，事後再關掉 | Invitation links |
| 讓現有使用者把同事拉進來 | User invites |
| 指定某幾個 email、順便決定 group | Invite users（手動邀請） |
四種做法常被拿來比較。判斷的關鍵是「對象是不是整個網域」以及「要不要讓一般使用者自己動手」。
資料來源（4）有疑慮時點開看官方原文
- Control how users get access to apps
When you share an invitation link, anyone can use it to join your selected app.
- Control how users get access to apps
Additionally, you can turn off invitation links at any time or regenerate a new link.
- Control how users get access to apps
Turn on the toggle for the app you want to create an invitation link for.
- Control how users get access to apps
Turn off the toggle when you want to void the invitation link.
兩種介面
Centralized 與 original，以及多個 organization
| Centralized | Original | |
|---|---|---|
| Users 頁在哪 | Directory → Users | Apps → 選 site → Users |
| 使用者名單 | 整個 organization 共用一份 | 每個 site 各自管理自己的使用者與 group |
| 誰能邀請 | Org admin；user access admin（只限自己管的 app） | Invite a user 頁只列 org admin；KB 說明 site admin 可在自己的 site 邀請與修改使用者 |
| 一次邀請 | 一次邀請可給多個 app | 可在新的 Users 頁一次選多個 site 的 app |
| App access settings 的寫法 | Approved domains、User invites、Invitation links | 文件稱 user access settings，讓特定網域的人加入 |
- 多個 organization：每個 organization 有自己的一份使用者，包含 app 存取與 user provisioning 設定；同一個 organization 底下的所有 site 共用同一份。進 Atlassian Administration 時要先選對 organization。
- 同一個 Atlassian account 可以同時是好幾個 organization 的使用者；從一個 organization 移除他，不影響他在其他 organization 的存取（見 520.3.3）。
- Atlassian 已不再支援把多 site 的 organization 從 original 轉成 centralized；兩種介面都會考，題目沒說時，以 centralized 的畫面路徑為主。
資料來源（5）・1 點無官方原文有疑慮時點開看官方原文
- Invite a user
In Atlassian Administration, Users is located in the {site} you select within Apps.
- Invite a user
When you invite users from the new Users page, you can invite them from more than one site at a time by selecting apps across multiple sites.
- How user management works in Atlassian Cloud
Every organization has a separate user base, including individual app access, user provisioning configuration, and so on.
- Atlassian Organization consolidation guide
Each site manages its own users separately and has its own users and groups
- Can I merge my Atlassian organizations?
However, we no longer support converting organizations with multiple sites from original to centralized user management.
- 找不到官方原文：「題目沒說時以 centralized 為主」這是本教材的作答建議；官方只說明兩種介面並存，沒有說考試以哪一種為準。
易錯觀念
考題愛用的錯誤說法
Approved domain 的使用者一定要等 admin 核准。
只有勾 Required 才要核准；不勾就是即時加入。
選了 Don't allow invites，連 org admin 都不能邀請。
Org admin（centralized 下還有 user access admin）仍然可以邀請。
Require admin approval 時，使用者什麼都不能做。
他們不能直接邀請，但可以替自己或替別人送出存取申請。
Invitation link 永久有效，只能刪 app 才能作廢。
30 天自動失效；也可以關掉 toggle 或重新產生。
邀請進 organization 的帳號就是 managed account。
邀請不代表擁有帳號；要驗證網域並 claim。
從 approved domain 自助加入的人不計費。
透過 app access settings 加入的人就是計費使用者。
資料來源（6）有疑慮時點開看官方原文
- Control how users get access to apps
If you deselect this checkbox, users from the approved domain can join your app instantly.
- Control how users get access to apps
Users can’t invite anyone or request access to your product. Organization admins can still invite users.
- Control how users get access to apps
Users can’t invite anyone to your product, but they can request access to your product for themselves or on behalf of someone else.
- Control how users get access to apps
As an added security measure, invitation links automatically expire after 30 days.
- Invite a user
When you invite a user to your organization, your organization doesn’t own their account.
- Control how users get access to apps
Users that join your apps as a result of your app access settings become licensed users.
動手做
實作 Lab：App access settings：網域、邀請與連結
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：走一遍 App access settings 的三個區塊，改一次 User invites，產生再作廢一條 invitation link。
這個 Lab 對應的考點
Approved domains 勾 Required 要核准、不勾即時加入；User invites 四個選項中 Require admin approval 會產生申請、Don't allow invites 連申請都不行；invitation link 30 天失效、可隨時關閉。
準備
- Leo 已有 Jira 的 User 角色（見 Lab 環境準備）。
- Ana 先不要用，留給 520.3.2。
- 開始前記下 User invites 的原設定，收尾時改回。
步驟
- 你應該看到：新建的 Lab Org 通常會看到 Users 與 Groups 在 Directory 底下，代表是 centralized user management。
- 你應該看到：Any domain 有預設值：公開與私有網域的人都可以申請存取。
- 你應該看到：每個 app 一列角色選擇；Required 勾＝要核准，不勾＝即時加入。
- 你應該看到：和 Any domain 的欄位相同，只是多了「輸入網域」。
- 你應該看到：Jira 那一列顯示 Don't allow invites；自訂訊息已儲存。
- 你應該看到：通常會看到不能邀請的提示，內容是你剛才自訂的訊息。
- 你應該看到：打開時連結出現在 toggle 下方；關掉後這條連結作廢。
試試看：改一個設定，觀察差異
T1把 Jira 的 User invites 改成 Require admin approval，再用 Leo 試一次邀請。看結果
Leo 不能直接邀請，但可以替自己或替別人送出存取申請；申請會出現在 Access requests（520.3.2 的 Lab 會處理）。
T2用無痕視窗打開剛才複製、已經關掉 toggle 的 invitation link。看結果
官方：關掉 toggle 後，這條連結就不能再用來加入 app。沒關的話，30 天後也會自動失效。
T3（想像，不實際做）公司網域 acme.com 設成 approved domain、Jira User、不勾 Required。新人用 acme.com 註冊後打開 Jira。看結果
他會即時加入並成為計費使用者；勾了 Required 才會先進入申請、等 admin 核准。
心像錨點：閉上眼睛想一次這個畫面
App access settings 頁：上面是 Approved domains 與 Any domain，旁邊是 User invites、Invitation links。網域自助、邀請互拉、連結快閃。
收尾
- User invites 改回開始前記下的原設定。
- 確認 Invitation links 的 toggle 都是關閉的。
資料來源（4）有疑慮時點開看官方原文
- Control how users get access to apps
Select Edit for “Any domain”.
- Control how users get access to apps
Enter the message you want your users to see in the Customise user invites not allowed message section.
- Control how users get access to apps
Turn on the toggle for the app you want to create an invitation link for. The link will appear below the toggle.
- Control how users get access to apps
Turn off the toggle when you want to void the invitation link. People will no longer be able to use this invitation link to access your app.
一分鐘腦內整理
讀完了？用這張收攏整節
網域自助、邀請互拉、連結快閃Approved domains、User invites、Invitation links。
Required 勾了才要核准
Directory 有 Users＝centralized
三種入口、兩層存取
- App 存取＝app 角色＝default group；三種入口最後都走到這裡。
- 邀請不等於擁有帳號；managed account 要驗證網域並 claim。
核准網域與 Any domain
- Approved domain：不用邀請；Required 勾＝要核准、不勾＝即時加入。
- 沒核准的私有網域套 Any domain 那一列。
現有使用者能不能邀請別人
- Require admin approval 會產生 access request；Don't allow invites 連申請都不行。
- Org admin 永遠可以邀請。
一條連結讓人加入某個 app
- Invitation link：任何拿到的人都能加入；30 天失效、可關可重產。
Centralized 與 original，以及多個 organization
- Users 在 Directory＝centralized；在 site 底下＝original。
- 每個 organization 一份使用者；同 org 的 site 共用。
本節練習
做題
題目載入中…
官方來源（本節依據）
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。