520.3.3・User management & access control 34%
管理使用者
這一節是日常管理：用 app 角色給與收回存取、暫停與移除、以使用者身分登入檢查，以及 managed account 才能做的事。每一項都要分清 centralized 與 original 下誰能做。
官方考綱原文（這一節會考的範圍）
- Manage product access for both non-managed and managed accounts管理 non-managed 與 managed 帳號的 app 存取（新版能力清單）
- Administer users and groups across multiple Cloud organizations, sites, and products跨多個 organization、site、app 管理使用者與 group（新版能力清單）
- Understand managed and non-managed accounts了解 managed 與 non-managed 帳號（舊版 2.1）
- Grant access to products via product roles用 app 角色給予存取（舊版 2.1）
- Prompt reset password提示使用者重設密碼（舊版 2.1）
- Suspend and restore access / Remove user / Log in as user暫停與恢復存取、移除使用者、以使用者身分登入（舊版 2.1）
3 分鐘速覽
給角色、收角色、暫停、移除、以使用者身分登入
- Grant access在使用者（或 group）頁按 Grant access、選 app 角色；系統把他放進該角色的 default group。
- Remove access從使用者的 Apps 分頁移除某 app：把他從所有給這個 app 的 group 拿掉；人仍在 organization。Org admin 要先拿掉 admin 角色。
- Suspend／Restore暫停存取、不計費；Restore 後角色與 group 原樣回來。
- Remove user移出 organization（original：移出 site）、不計費；要重新邀請並重設角色與 group。不影響他在其他 organization。
- Log in as userOrg admin 用來檢查權限；不能登入成另一個 org admin、還沒用過 app 的人、portal-only customer；會 email 通知本人。
- Managed account只有 managed account 能改資料、重設密碼、deactivate、delete；external user 只能 suspend 或 remove。
資料來源（6）有疑慮時點開看官方原文
- Give users access to apps
When you give app access to a user, we add them to the default group for that app.
- Remove app access for users
Select Remove access. This removes the user from all groups that give access to that app.
- Remove user or suspend their access
They’ll regain their roles and group memberships when this happens.
- Remove user or suspend their access
Removing a user doesn’t remove them from other organizations or permanently delete their Atlassian account.
- Log in as another user
As an organization admin, you can log in as another user to ensure their permissions in an app are set correctly.
- What are managed accounts?
As an admin, you can invite them to your apps and remove them when they no longer need access, but you can’t update their account details or delete their account completely.
App 角色
給與收回 app 存取
| 要做的事 | Centralized 路徑 | Original 路徑 |
|---|---|---|
| 給一個人 app 存取 | Directory → Users → 選人 → Grant access → 選角色 | Apps → 選 site → Users → 選人 → Grant access |
| 給一個 group app 存取 | Directory → Groups → 選 group → Grant access | 選 site → Groups → 選 group → Grant access |
| 給多個 group 同一個 app | Apps → Atlassian apps → Manage app → Add groups | 選 site → App access → Add group |
| 收回一個人的 app 存取 | 選人 → Apps 分頁 → ••• → Remove access | 同左（在 site 的 Users 頁） |
- Remove access 會把他從所有給這個 app 的 group 移除；只把他從 default group 拿掉不一定夠，因為其他 group 也可能給同一個 app。
- 對象是 org admin（original 下還有 site admin）時，要先拿掉他的 admin 角色，才能收回 app 存取。
- 誰能做：centralized 是 org admin 與 user access admin（只限自己管的 app）；original 是 org admin 與 site admin。
- Jira Service Management 的 portal-only customer 不是計費使用者，不能給他 app 存取；匿名使用者（沒登入）也不計費。
資料來源（5）有疑慮時點開看官方原文
- Remove app access for users
Users need to be removed from all groups that give access to an app to remove their access to that app completely.
- Remove app access for users
If the user is an organization admin, you need to remove their organization admin role before you can remove their access to a app.
- Remove app access for users
If the user is an organization admin or a site admin, you need to remove their admin role before you can remove their access to an app.
- Give users access to apps
You can't give portal-only customers access to apps, regardless of your access settings.
- Give users access to apps
Anonymous users are people who aren’t logged in. They don't count towards your plan.
暫停與移除
由輕到重的五種動作
| 動作 | 影響範圍 | 計費 | 怎麼恢復 |
|---|---|---|---|
| Suspend access | Centralized：這個 organization；original：這個 site | ✗ 不計費 | Restore access：角色與 group 回來 |
| Remove user | Centralized：移出 organization；original：移出 site | ✗ 不計費 | 重新邀請，並重新指定角色與 group |
| Deactivate account（managed） | 帳號在所有 organization 都不能用，也不能到 Atlassian Support、Community | ✗ 不計費 | Reactivate account |
| Delete account（managed） | 14 天寬限期後永久刪除；名稱改為 Former user | ✗ 不計費 | 14 天內 Cancel deletion |
Remove user 對內容的影響，官方兩份文件說法不一：Remove user 頁說會移除他的部分內容，請你先看 Delete your Atlassian account 或 Delete a managed account 頁確認哪些資料會被刪；Users 與 Managed accounts 頁差異的 KB 則說移出 site 不影響帳號在 site 上的歷史資料與活動。作答時兩種說法都要認得。誰能做：centralized 是 org admin，以及 user access admin（只限沒有 app 存取、或只有他所管 app 的使用者）；original 是 org admin 與 site admin。Deactivate、delete 只有 org admin 能做，細節見 520.4.1。
自我檢查：先在心裡回答，再點開對答案
Q1員工請三個月育嬰假，回來要原本的權限，最省事的做法？看答案
Suspend access；回來時 Restore access，角色與 group 原樣恢復。
Q2外包合約結束，帳號不是公司 managed account，怎麼處理？看答案
Remove user（或 suspend）。External user 不能被 deactivate 或 delete。
資料來源（8）有疑慮時點開看官方原文
- Remove user or suspend their access
Suspend access to remove a user’s access to your organization temporarily.
- Remove user or suspend their access
Suspend access to remove a user’s access to your site temporarily.
- Remove user or suspend their access
You must invite the user to your organization again if you want to reinstate their access your apps.
- Remove user or suspend their access
Role: Organization admin, user access admin (for users who have no app access or access only to the app they administer)
- Remove user or suspend their access
Removing a user will remove some of their content, check out Delete your Atlassian account or Delete a Managed Account to see what will be deleted inside your organization when you remove their membership.
- What is the difference between the Users and Managed accounts pages?
It does not affect the account’s historic data and activities on the site.
- Deactivate a managed account
When you deactivate an account, the user will no longer be able to use this account to access apps in any organization, submit tickets to Atlassian Support, post on Atlassian Community, or access license and order information at my.atlassian.com.
- Deactivate a managed account
If your organization doesn’t manage the account you no longer need, you can suspend the user's access instead.
Log in as user
用對方的眼睛看一次
| Centralized | Original | |
|---|---|---|
| 誰能用 | 只有 org admin | Org admin、site admin |
| 不能登入成誰 | 另一個 org admin；還沒用過你們 app 的人；自己；portal-only customer | 和你同級或更高的人（例如 site admin 不能登入成另一個 site admin 或 org admin）；還沒進過 site 的人；自己；portal-only customer |
| 路徑 | Directory → Users → 選人 → 某 app 的 ••• → Log in as user | 選 site → Users → 選人 → Apps 分頁 → ••• → Log in as user |
- 登入後你看到的就是他看到的，包括只開放給他的內容；畫面上會顯示你正以誰的身分登入，按 switch back 回到自己。
- 系統會 email 通知本人。
- 不能藉此修改他的個人資料；managed account 的資料要在 Atlassian Administration 改。
考題長相
「新人說看不到某個 Confluence space，admin 想親眼確認他看到什麼」：Log in as user。但若他從沒登入過任何 app，這個選項不能用；centralized 下 site admin 也不能用。
資料來源（5）有疑慮時點開看官方原文
- Log in as another user
When you’re logged in as another user, you see everything as that user would see it, including any content restricted to them.
- Log in as another user
log in as a user who hasn’t accessed an app in your organization yet.
- Log in as another user
log in as a user who has the same role as you, or a higher role. For example, a site admin can’t log in as another site admin or organization admin.
- Log in as another user
We email the user to let them know you’ve logged in as them.
- Site Administrator role in the Centralized user management and Original user management experiences
Can’t impersonate other users. This option will be locked for the Site Admin. Only an Org Admin can log in as another user.
Managed 與 external
能對帳號本身做什麼
| 能做的事 | Managed account | External user |
|---|---|---|
| 給或收 app 存取、加進 group | ✓ | ✓ |
| Suspend、remove user | ✓ | ✓ |
| 改姓名、email、頭像 | ✓ 在 Atlassian Administration 改 | ✗ 使用者自己在 id.atlassian.com 改 |
| Reset password（提示重設密碼） | ✓ 10 分鐘內登出，下次登入要換密碼 | ✗ |
| Deactivate、delete 帳號 | ✓ | ✗ |
- Managed＝驗證網域並 claim 的帳號；同一網域但沒 claim 的帳號仍是 external user（520.4.1 詳述）。
- 從 IdP 同步的 managed account，帳號資料只能在 IdP 改。
- Users 頁 vs Managed accounts 頁：Users 列出在你們 site 是 Active、Invited、Suspended 的人（managed 與 external 都有），用來邀請、給角色、suspend、remove；Managed accounts 列出你們 claim 的帳號，用來改資料、deactivate、delete。Claim 了帳號不會自動給 site 存取，仍要邀請。
- Managed account 的個人頁有 Other organizations 分頁，可以看到他在其他 organization 能用的 app。
資料來源（7）有疑慮時點開看官方原文
- Make changes to a managed account
When you reset the password of a managed account, we log them out within 10 minutes.
- Make changes to a managed account
They’re prompted to change their password the next time they log in.
- Make changes to a managed account
If the user is synced from an identity provider, updates to the account can only be made from the identity provider.
- Make changes to a managed account
The Other organizations tab contains apps in other organizations that this user created or has access to.
- What is the difference between the Users and Managed accounts pages?
Claimed accounts are managed accounts and will be listed on the Managed accounts page.
- Make changes to a managed account
Unmanaged accounts allow users to update their details via their Atlassian profile at id.atlassian.com.
- What are managed accounts?
If you don’t claim an account from a verified domain, we consider this account an external user to your organization.
誰能管人
Org admin、user access admin、site admin
| 能力 | Org admin | User access admin | Site admin（centralized） | Site admin（original） |
|---|---|---|---|---|
| 邀請、給或收 app 存取 | ✓ | ◐ 只限自己管的 app | ✗ | ✓ 自己的 site |
| Suspend、remove user | ✓ | ◐ 只限沒有其他 app 的人 | ✗ | ✓ 自己的 site |
| 核准 access request | ✓ | ✗ | ◐ 自己的 site | ◐ 自己的 site |
| Log in as user | ✓ | ✗ | ✗ | ◐ 只限比自己低的角色 |
| 設定 user access settings、改 managed account | ✓ | ✗ | ✗ | ✗ |
User access admin 是 centralized 介面才有的角色：他管某一個 app 的使用者存取，但自己不一定有這個 app 的存取。Centralized 的 site admin 管 site 上的 app，不管人；如果要讓他管人，再給他該 app 的 user access admin 角色。Centralized 下指派這些 admin 角色只有 org admin 能做；original 下 site admin 也可以指派或移除 site admin 角色（520.1.3 詳述）。
資料來源（6）有疑慮時點開看官方原文
- What are the different types of admin roles?
A user access admin doesn’t automatically get access to the app they administer.
- What are the different types of admin roles?
Site admins are responsible for managing users, groups, apps, and settings of a site.
- Site Administrator role in the Centralized user management and Original user management experiences
Can’t invite or modify any users even within the site they administer.
- Site Administrator role in the Centralized user management and Original user management experiences
Can freely invite users or modify users based on their requirements within the site they administer.
- How does app access work?
A site admin in the original user management experience can assign roles in their site.
- What are the different types of admin roles?
Organization admins and site admins can assign the site admin role or remove it from someone.
易錯觀念
考題愛用的錯誤說法
把人從 default group 移除，他一定就不能用這個 app。
其他 group 也可能給同一個 app；要從所有給該 app 的 group 移除（Remove access 會一次做完）。
Remove user 之後 restore，group 會回來。
Remove 要重新邀請並重設角色與 group；能原樣回來的是 suspend → restore。
從我們 organization 移除某人，他在其他 organization 也不能用了。
Remove user 不影響其他 organization，也不刪除他的帳號。
Site admin 在 centralized 介面也能 Log in as user。
Centralized 只有 org admin 能用；original 的 site admin 可以（但不能登入成同級或更高的人）。
可以 deactivate 任何離職者的帳號。
只能 deactivate、delete managed account；external user 只能 suspend 或 remove。
要收回 org admin 的 Jira 存取，直接 Remove access 即可。
要先拿掉他的 org admin 角色。
資料來源（6）有疑慮時點開看官方原文
- Remove app access for users
Users need to be removed from all groups that give access to an app to remove their access to that app completely.
- Remove user or suspend their access
You’ll also need to assign their roles and group memberships again.
- Remove user or suspend their access
Removing a user doesn’t remove them from other organizations or permanently delete their Atlassian account.
- Site Administrator role in the Centralized user management and Original user management experiences
Can’t impersonate other users. This option will be locked for the Site Admin. Only an Org Admin can log in as another user.
- Deactivate a managed account
You can only delete or deactivate managed accounts.
- Remove app access for users
If the user is an organization admin, you need to remove their organization admin role before you can remove their access to a app.
動手做
實作 Lab：給角色、暫停、代登、移除
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：在同一個使用者頁面做一輪：給與收回 app 角色、suspend 與 restore、Log in as user，再對一個測試帳號做 remove。
這個 Lab 對應的考點
Remove access 會把人移出所有給該 app 的 group；suspend → restore 角色與 group 原樣回來，remove 要重新邀請；centralized 下只有 org admin 能 Log in as user，而且不能登入成還沒用過 app 的人。
準備
- 準備一個新的 email 別名 Mia（只在這個 Lab 用，最後會移除）。
- Leo 在 lab-team。
步驟
- 你應該看到：Kim 的 Apps 分頁多了 Confluence；Groups 多了 confluence-users-labjira 這類 default group。
- 你應該看到：Confluence 從 Apps 消失，Kim 也被移出給 Confluence 的 group；Kim 仍在 Users 清單。
- 你應該看到：Leo 的狀態變成 Suspended；Leo 不能用 Jira。
- 你應該看到：Leo 的 Jira 角色與 lab-team 都回來了。
- 你應該看到：畫面顯示你正以 Leo 的身分登入，看到的是 Leo 看得到的內容；Leo 會收到 email 通知。
- 你應該看到：通常看不到可用的 Log in as user：不能登入成還沒用過 app 的人。
- 你應該看到：Mia 從 Users 清單消失，不再計費；要回來得重新邀請並重設角色與 group。
- 你應該看到：Kim 看得到 Directory 的使用者；App access settings 通常看不到或不能改（只有 org admin 能設定）；Kim 本人沒有因此拿到 Confluence 的使用權。
試試看：改一個設定，觀察差異
T1用 Kim（Confluence 的 user access admin）替 Ana 加 Confluence（Leo 在 520.3.2 已經有 Confluence），再試著收回 Leo 的 Jira。看結果
Confluence 可以（只要 Confluence 的 default group 沒有連帶給其他 app）；Jira 她不管，所以收不了。這就是「只限自己管的 app」。
T2用 Kim 試著在 Leo 的頁面找 Log in as user。看結果
找不到或不能用：centralized 下只有 org admin 能 Log in as user。
T3（想像，不實際做）對 Leo 做 Remove user 再重新邀請。看結果
Leo 回來時 lab-team 不見了；要重新指定角色與 group。能原樣回來的是 suspend → restore。
心像錨點：閉上眼睛想一次這個畫面
使用者頁的 Apps 分頁：每個 app 一列，最右邊的 ••• 裡有 Remove access 與 Log in as user；Users 清單那一列的 ••• 裡有 Suspend access 與 Remove user。Suspend 會回來、remove 要重來。
收尾
- 若做了 T1，先用 org admin 收回 Ana 的 Confluence（Ana 保留 Jira）。
- 拿掉 Kim 的 Confluence user access admin 角色。
- 確認 Mia 已移除、Leo 是 Active 且在 lab-team。
資料來源（4）有疑慮時點開看官方原文
- Remove app access for users
In the Apps tab, find the app you want to remove access to, then select more actions (•••).
- Remove user or suspend their access
They’ll regain their roles and group memberships when this happens.
- Log in as another user
Find the app you want to log in to and select more actions (•••).
- Log in as another user
log in as a user who hasn’t accessed an app in your organization yet.
一分鐘腦內整理
讀完了？用這張收攏整節
收 app、暫停、移除、停用、刪除由輕到重；後兩個只對 managed。
Suspend 會回來、remove 要重來
代登只有 org admin（centralized）
給與收回 app 存取
- Grant access＝放進 default group。
- Remove access＝從所有給該 app 的 group 移除。
由輕到重的五種動作
- Suspend 會回來；remove 要重來。
- Deactivate／delete 只對 managed account。
用對方的眼睛看一次
- Centralized 只有 org admin 能 Log in as user。
- 還沒用過 app 的人不能被登入。
能對帳號本身做什麼
- 只有 managed account 能改資料、重設密碼、deactivate、delete。
- Users 頁管存取；Managed accounts 頁管帳號。
Org admin、user access admin、site admin
- Centralized 的 site admin 不能邀請或修改使用者。
- User access admin 只管自己那個 app 的存取。
本節練習
做題
題目載入中…
官方來源（本節依據）
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。