520.3.4・User management & access control 34%
Groups
Group 是管理存取最省力的方式：在 Atlassian Administration 用它給 app 角色，在 Jira 與 Confluence 裡用它設權限。這一節考 default group 的規則、建立與編輯 group，以及 site-admins 這類 admin group 的意義。
官方考綱原文（這一節會考的範圍）
- Administer users and groups across multiple Cloud organizations, sites, and products跨多個 organization、site、app 管理使用者與 group（新版能力清單）
- Understand the impact of changes to groups in Jira and Confluence了解 group 變更對 Jira 與 Confluence 的影響（新版能力清單）
- Define default product access groups定義 default app access group（舊版 2.3）
- Understand the configuration choices for default access groups / Rules for default access groupsDefault group 的設定選擇與規則（舊版 2.3）
- Purpose and rules for site-admins groupsite-admins group 的用途與規則（舊版 2.3）
- Create and update groups建立與更新 group（舊版 2.3）
3 分鐘速覽
Group 的兩種用途與 default group 的規則
- 兩種用途在 Atlassian Administration 用 group 給 app 角色；在 Jira、Confluence 裡用 group 設 app 內權限。
- Default group每個 app 角色的主要 group；給人 app 存取時自動放進來。加 app 時每個角色會建一個，例如 confluence-users-{site}。
- Default group 規則每個角色至少要有一個；一個 group 同時只能當一個角色的 default；給 org admin 角色的 group 不能當 default；SCIM 同步的 group 不能當 default。
- 誰能設定 default groupDefault group 頁與排查頁都寫只有 org admin，user access admin 不行；但 original 介面的角色比較表把 site admin 列為可設定自己 site 的 default group，兩處說法不一。
- 建立與編輯Directory → Groups：Create group、Grant access、Add users、改名（beta）。Centralized 下 user access admin 只能管只給自己 app 的 group。
- site-admins／org-adminsOrganization 層的 admin group；centralized 下舊站的 site-admins group 其實連到 org admin 角色。
資料來源（5）・1 點無官方原文有疑慮時點開看官方原文
- Understand default groups
A default group is the main group that grants an app role.
- Understand default groups
You can change what the default group is for a role, but a role must have at least one default group.
- Understand default groups
Note, the group that grants the organization admin role can’t be a default group for any role.
- Understand default groups
SCIM-synced groups from external identity providers such as Okta are read-only and can't be set as default groups.
- Troubleshoot issues related to managing groups
Only organization admins have the ability to configure default groups.
- 找不到官方原文：Original 介面下 site admin 可設定 default groupWhat are the different types of admin roles? 頁 original 段的 Manage groups 表格，在「Configure default groups for Atlassian apps」一列對 site admin 標示 🔸（限自己的 site）；但 Understand default groups 頁的 Who can do this 只列 Organization admin。表格列不是完整句子，無法引用原文。
用途
一個 group，兩層用途
| 用途 | 在哪裡設定 | 誰設定 | 例子 |
|---|---|---|---|
| 給 app 角色（第一層） | Atlassian Administration：group → Grant access | Org admin、user access admin（自己的 app） | HR-team group 有 Confluence 與 JSM 的 User 角色 |
| App 內權限（第二層） | Jira：⚙ → System 與各 space 的權限；Confluence：⚙ → 權限設定 | Jira admin、Confluence admin | 只有 HR-confidential group 能看機密 space |
- 新人加入、換部門時，只要改他的 group，兩層權限一起跟著變：例如從 Legal-team 移到 HR-team。
- Confluence 的 global permissions 只能給 group，不能給個人；Jira 的 global permissions 也是給 Organization admin 建立的 group。
- Atlassian Cloud 不支援巢狀 group；從外部目錄同步時要攤平。
資料來源（5）有疑慮時點開看官方原文
- How does app access work?
In-app permissions can be set up by app admins from within the app and applied to groups created in Atlassian Administration.
- How does app access work?
In-app permissions are managed within the app, but you create a group and manage its membership in Atlassian Administration.
- Manage global permissions (Confluence)
Global permissions can’t be assigned to individual users, only the group.
- What are global permissions, and what do they control? (Jira)
These permissions apply across the entirety of your site, and can be granted to groups created by your Organization admin.
- How user management works in Atlassian Cloud
Atlassian Cloud doesn’t support nested groups.
Default groups
每個 app 角色的「入口 group」
| Default group（2021 年 8 月後加的 app） | 給什麼 |
|---|---|
| jira-users-{site} | Jira 的 User 角色 |
| jira-admins-{site} | Jira Administration 的 App admin（Administer Jira 全域權限） |
| confluence-users-{site}／confluence-admins-{site} | Confluence 的 User／App admin |
| confluence-guests-{site} | Confluence guest：一次只能進一個 space |
| jira-servicemanagement-users-{site} | JSM agent，計入 JSM 授權 |
| {app}-user-access-admins-{site} | User access admin；不給 app 存取、不計費 |
| org-admins 或 site-admins | Organization admin（管所有 site 與 organization） |
- 加 app 時，系統替每個角色建一個 default group；admin 改過名的話會和上表不同。舊 site（2021 年 8 月前）可能有 users、jira-users、site-admins 等舊名。
- Default group 的規則：每個角色至少要有一個 default group；一個 group 可以給多個角色，但同時只能當其中一個角色的 default；給 org admin 角色的 group 不能當任何角色的 default（避免有人被給一般角色時意外變成 org admin）。
- 小心授權暴增：自動放進 default group 若設定不當，會多用授權；改 JSM 的 default group 時，group 裡所有人都會占用 agent 授權。
- system-administrators：Atlassian Support 用的 group，不能編輯或加人；裡面的 sysadmin 帳號不計授權。
資料來源（6）有疑慮時點開看官方原文
- Understand default groups
When you add an app to your organization, we create a default group for each app role.
- Understand default groups
A group can grant multiple roles for an app, but it can only be the default group for one role at a time.
- Understand default groups
This automatic assignment to default groups can lead to unintended license consumption if not configured properly.
- Understand default groups
Be cautious when changing the default group for JSM, as all users in the group will automatically consume Agent licenses.
- Understand default groups
This group does not grant app access and members of this group won’t count towards your bill (unless the user holds another billable role).
- Understand default groups
There’s a default group used by Atlassian Support called system-administrators. You can’t edit or add users to this group.
改 default group
先把角色給新 group，再設成 default
- 先給角色要當新 default 的 group，先在 Grant access 拿到該角色。
- CentralizedApps›Atlassian apps›Manage app → 新 group 的 ••• → Update default group setting → 選角色 → Update。
- OriginalApps → Atlassian apps → 該 app 的 ••• → View app → 新 group 的 ••• → Make this group default（重新整理才看得到標籤）。
- 拿掉舊的舊 group 的 ••• → Update default group setting 選 None（original：Don't make this group default）。這不影響 group 的成員與存取。
拿掉 default 標籤只是「之後新給存取的人不再自動放進這裡」，原本的成員與他們的存取都不變。要讓一個 group 不再給某 app，是另一個動作：從 group 移除該 app 的角色。
資料來源（4）有疑慮時點開看官方原文
- Understand default groups
To change the default group for a role, assign the role to a new group first.
- Understand default groups
Centralized: Select Manage App for the app that the role belongs to. Default groups are indicated with a checkmark in the Default group column.
- Understand default groups
Select Make this group default. You’ll need to reload the page to see a default group label.
- Understand default groups
Select None, then select Update. This doesn’t affect the group members or access.
建立與編輯
Create、Grant access、Add users、改名
| 動作 | 路徑（centralized） | 要注意 |
|---|---|---|
| 建立 group | Directory → Groups → Create group | JSM portal-only customer 不能加進任何 group |
| 給 group app 角色 | group 頁 → Grant access | 成員會收到 email 邀請（已有該 app 的人不會） |
| 加或移除成員 | group 頁 → Add users；Members 分頁 → Remove | 因此拿到新 app 的人會收到 email |
| 改名或改描述 | group 頁 ••• → Edit group name／Edit description | 改名是 beta：被 Jira 管理設定使用時不能改；改了 Jira automation 用到的 group 名稱，該 rule 會停止運作 |
- 誰能做：centralized 是 org admin 與 user access admin（只限「只給自己 app」的 group）；給 Jira 的 app admin 的 group 只有 org admin 能改。Original 是 org admin 與 site admin（只限自己 site 的 group）。
- Centralized 介面下所有 group 集中管理，名稱不能重複；合併 organization 時，同名 group 會被改名成 {groupName}-{SourceOrgName}。
- 從 IdP 同步的 group 是唯讀的，成員要在 IdP 改。
資料來源（7）有疑慮時點開看官方原文
- Create groups
You can't add Jira Service Management portal-only customers (i.e. those submitting support service project requests) to any groups.
- Create groups
When you grant a group access to a new app, we email its users to invite them to start using the app.
- Edit a group
You can’t edit the name of a group if it's used within some Jira administration settings or if it has a restricted or protected name.
- Edit a group
If you edit a group name associated with a Jira Cloud automation flow, the flow will stop working.
- What are the different types of admin roles?
For groups that only give access to apps they administer. Only an organization admin can modify a group that grants app admin for Jira.
- Atlassian Organization consolidation guide
Groups with the same name in both organizations will be renamed in the source using the format: {groupName}-{SourceOrgName}.
- How user management works in Atlassian Cloud
All groups are managed from a single location, so you can’t have multiple groups with the same name.
site-admins group
Organization 層的 admin group
- org-admins 或 site-admins：管理所有 site 與 organization 的人；有 user management、billing、所有 organization 與 site 設定、所有 app 的權限。
- 舊名 site-admins（2021 年 8 月前）：管理一個 site 的人，可以管使用者、看 billing、使用 site 上所有 app。
- Centralized 介面下，舊站的 site-admins group 其實連到 org admin 角色（名稱容易誤會）；新站則是 org-admins。Centralized 的 site admin 角色不連到任何 group，不能用 group 指派。
- 把人加進 admin 角色的 default group，也是指派 admin 的一種方式（site admin 除外）。
考題長相
「把某人加進 site-admins group，他變成什麼？」在 centralized 介面下，這個 group 連到 org admin 角色，所以他會成為 org admin。官方建議 organization 至少有兩位 org admin。
資料來源（4）有疑慮時點開看官方原文
- Understand default groups
Contains users who manage all your sites and the organization.
- Site Administrator role in the Centralized user management and Original user management experiences
In the Centralized user management experience, the Site Admin role is not associated or linked to any group and therefore, Site Admin role assignment cannot be managed via a group.
- Site Administrator role in the Centralized user management and Original user management experiences
As of December 2024, the "site-admins" group in Centralized user management experience is actually associated with the Org Admin role.
- Give users admin permissions
As such, another way you can also make someone an admin is by adding them to the relevant default group.
易錯觀念
考題愛用的錯誤說法
可以把所有角色的 default group 都拿掉。
每個角色至少要有一個 default group。
讓 org-admins group 當 Jira User 的 default group，比較好管。
給 org admin 角色的 group 不能當任何角色的 default。
拿掉 default 標籤會讓成員失去存取。
只影響之後的自動放置；成員與存取不變。
User access admin 可以設定 default group。
只有 org admin 能設定 default group。
Okta 同步進來的 group 可以設成 default group。
SCIM 同步的 group 是唯讀的，不能當 default。
Confluence global permission 可以直接給一個人。
只能給 group。
資料來源（6）有疑慮時點開看官方原文
- Understand default groups
You can change what the default group is for a role, but a role must have at least one default group.
- Understand default groups
Note, the group that grants the organization admin role can’t be a default group for any role.
- Understand default groups
Select None, then select Update. This doesn’t affect the group members or access.
- Troubleshoot issues related to managing groups
Only organization admins have the ability to configure default groups.
- Understand default groups
SCIM-synced groups from external identity providers such as Okta are read-only and can't be set as default groups.
- Manage global permissions (Confluence)
Global permissions can’t be assigned to individual users, only the group.
動手做
實作 Lab：換一個 default group，再換回來
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：把 Confluence User 角色的 default group 換成自建的 lab-docs，看新使用者被放到哪裡，再換回來並改名。
這個 Lab 對應的考點
每個角色至少一個 default group；一個 group 同時只能當一個角色的 default；default group 不能刪；拿掉 default 標籤不影響成員與存取；給 org admin 角色的 group 不能當 default。
準備
- Kim 目前沒有 Confluence（520.3.3 已收回）。
步驟
- 你應該看到：Groups 清單中，confluence-users-labjira 與 confluence-admins-labjira 在 Default group 欄打勾。
- 你應該看到：lab-docs 出現在 Confluence 的 group 清單，但還沒有 default 勾號。
- 你應該看到：User 角色的 default 只剩 lab-docs；confluence-users-labjira 的勾號消失，但成員與存取不變。
- 你應該看到：Kim 被放進 lab-docs，不是 confluence-users-labjira。
- 你應該看到：不能刪：它是某個角色的 default group。
- 你應該看到：lab-docs 的勾號消失，但 Kim 仍在 lab-docs、仍能用 Confluence。
- 你應該看到：名稱更新（改名是 beta 功能）。
試試看：改一個設定，觀察差異
T1在 Manage app 對 org-admins（或舊站的 site-admins）group 選 Update default group setting。看結果
通常不能選：給 org admin 角色的 group 不能當任何角色的 default，避免有人被給一般角色時意外變成 org admin。
T2對 lab-docs 再選一次 Update default group setting，試著同時選 User 與 App admin。看結果
只能選一個角色：一個 group 可以給多個角色，但同時只能當一個角色的 default。
T3（想像，不實際做）把 confluence-users-labjira 的 default 拿掉，卻沒有指定新的 default。看結果
不行：每個角色至少要有一個 default group。
心像錨點：閉上眼睛想一次這個畫面
Manage app 頁的 group 清單，Default group 欄的勾號；每列 ••• 裡是 Update default group setting。一角至少一預設、一組只當一預設。
收尾
- 把 Kim 移出 lab-docs-old，並收回 Kim 的 Confluence（或保留給下一個 Lab）。
- lab-docs-old 已不是 default，從 group 頁 ••• → Delete group 刪除（這是 Lab 自建的 group）。
資料來源（4）有疑慮時點開看官方原文
- Understand default groups
Find the group you want to make the new default group, then select More actions ().
- Understand default groups
Select None, then select Update. This doesn’t affect the group members or access.
- Delete a group
You can’t delete a group if it’s a default group for a role.
- Edit a group
From the More actions menu (), select Edit group name to rename the group or Edit description to change the description.
一分鐘腦內整理
讀完了？用這張收攏整節
一角至少一預設、一組只當一預設Default group 兩條數量規則。
Org admin 的組不當預設、SCIM 的組不當預設
名單在 Admin、權限在 app
一個 group，兩層用途
- Group 成員在 Admin 管、app 內權限在 app 設。
- Confluence global permission 只能給 group。
每個 app 角色的「入口 group」
- Default group＝角色的入口；每角色至少一個。
- Org admin 的 group 不能當 default。
先把角色給新 group，再設成 default
- 改 default 不影響現有成員與存取。
- Centralized：Update default group setting；original：Make this group default。
Create、Grant access、Add users、改名
- Group 名稱在 organization 內不能重複。
- 改名會影響 Jira 設定與 automation。
Organization 層的 admin group
- Centralized 下 site-admins group＝org admin 角色。
- Site admin 角色（centralized）不能用 group 指派。
本節練習
做題
題目載入中…
官方來源（本節依據）
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。