520.3.5・User management & access control 34%
變更的影響與排查
改 group、移除或停用使用者之後，Jira 與 Confluence 會發生什麼？這一節把各種動作的影響整理成對照表，再用 Jira 與 Confluence 的實例練習排查，並涵蓋多個 organization 與 site 的情境。
官方考綱原文（這一節會考的範圍）
- Understand the impact of changes to groups in Jira and Confluence了解 group 變更對 Jira 與 Confluence 的影響（新版能力清單）
- Administer users and groups across multiple Cloud organizations, sites, and products跨多個 organization、site、app 管理使用者與 group（新版能力清單）
- Understand the impact to an organization’s products when various directory changes are made了解各種目錄變更對 organization 內 app 的影響（舊版 2.4）
- Delete groups / Suspend access, restore access, remove user / Deactivate and delete managed accounts刪 group；暫停、恢復、移除使用者；停用與刪除 managed account（舊版 2.4）
- Analyze and troubleshoot the impact of user and group changes within Jira family of products and within Confluence分析並排查使用者與 group 變更在 Jira 系列與 Confluence 的影響（舊版 2.4）
3 分鐘速覽
改了使用者或 group，Jira 與 Confluence 會怎樣
- 刪 group成員不會被刪；這個 group 給的 app 角色與 app 內權限一起失效。先移除權限再刪，否則日後建同名 group 權限會自動回來。Default group 不能刪。
- 從 group 移除 app成員若還在其他給同一 app 的 group，存取不變。
- 改 group 名稱被 Jira 設定（例如 filter 的 JQL）使用時不能改；改了 automation 用到的名稱，rule 會停。
- Suspend、remove、deactivate都會停止計費。Suspend 保留角色與 group，deactivate 不刪個人資料；remove 對內容的影響官方說法不一（見下表）。
- Delete managed account14 天後永久刪除，名字變成 Former user；建立的內容不刪。用 IdP 同步的要先從 IdP 移除。
- 排查順序使用者狀態 → app 角色（哪些 group 給的）→ app 內權限 → 是否 SCIM 唯讀 group → Log in as user 重現。
資料來源（5）有疑慮時點開看官方原文
- Delete a group
Delete a group when you no longer need to manage app access or permissions for a subset of users together. This doesn’t remove the users from your organization.
- Delete a group
This prevents any permissions from being automatically assigned in an app if a group is created with this name again.
- Remove app access for users
Users in this group will continue to have access to the app if they’re in other groups that give access to that app.
- Edit a group
If you edit a group name associated with a Jira Cloud automation flow, the flow will stop working.
- Delete a managed account
After 14 days, the account will be permanently deleted and the account name will be replaced with “Former user” in products.
影響對照
每個動作改到什麼
| 動作 | App 存取 | Group 成員 | 計費 | 其他 organization | 內容 |
|---|---|---|---|---|---|
| 從 group 移除某 app 的角色 | ◐ 還在其他給該 app 的 group 就不受影響 | 不變 | 可能減少 | 不受影響 | 保留 |
| 把人移出某 group | ◐ 同上 | 只少這個 group | 可能減少 | 不受影響 | 保留 |
| 刪除 group | ◐ 只靠這個 group 的人失去 | Group 消失，人還在 | 可能減少 | 不受影響 | 保留 |
| Suspend access | ✗ 全部暫停 | 保留 | ✗ 不計費 | 不受影響 | 保留 |
| Remove user | ✗ 全部移除 | 清除 | ✗ 不計費 | 不受影響 | 說法不一：Remove user 頁說部分內容會被移除；KB 說不影響 site 上的歷史資料 |
| Deactivate（managed） | ✗ | 保留（可重新啟用） | ✗ 不計費 | ✗ 所有 organization 都不能用 | 保留 |
| Delete（managed） | ✗ | 清除 | ✗ 不計費 | ✗ 帳號消失 | 內容保留，作者顯示 Former user |
讀這張表的重點在最後兩欄：只有 deactivate 與 delete 會影響他在其他 organization 的存取，而且只能對 managed account 做；Remove user 只影響你們這個 organization（original 介面下只影響這個 site）。
資料來源（7）・1 點無官方原文有疑慮時點開看官方原文
- Remove user or suspend their access
Removing a user will remove some of their content, check out Delete your Atlassian account or Delete a Managed Account to see what will be deleted inside your organization when you remove their membership.
- Delete a managed account
If you think the account will need access to your organization again, deactivate the account instead to retain their roles and group membership.
- Delete a managed account
Content the user has created in Atlassian account services, such as pages, issues, and comments.
- What is the difference between the Users and Managed accounts pages?
Removing an account from site revokes product access and group membership.
- What is the difference between the Users and Managed accounts pages?
It does not affect the account’s historic data and activities on the site.
- Deactivate a managed account
This won’t delete personal data associated with the Atlassian account, since you can reactivate the account at any time.
- What is the difference between the Users and Managed accounts pages?
Deleting an Atlassian account will delete that particular account across the entire Atlassian Cloud platform.
- 找不到官方原文：「Deactivate 後 group 成員保留、delete 後清除」Delete a managed account 頁說「改用 deactivate 可保留角色與 group membership」，屬間接說明（推論 delete 不保留）；Deactivate 頁本身沒有逐字寫。
Jira
Group 與使用者變更在 Jira 的影響
| 變更 | 在 Jira 會看到什麼 | 怎麼處理 |
|---|---|---|
| 刪除 permission scheme、global permissions 用到的 group | 原成員失去透過這個 group 拿到的權限（看不到 project、不能 bulk change…） | 刪之前先查 Jira 的 global permissions、permission scheme、filter 分享等；不需要時先移除權限再刪 |
| 改 group 名稱 | 被 Jira 管理設定使用時改不了；錯誤訊息會列出是哪種設定（例如 JQL Filters） | 先改掉或刪掉引用這個 group 的 filter，再改名，再把 filter 改回新名稱 |
| 改 automation 用到的 group 名稱 | Rule 停止運作 | 改名後更新 rule |
| 使用者被 deactivate | Deactivate 是 user management 的事件，不是 Jira 的事件；他的 work item 仍掛在他名下 | 用 JQL assignee in inactiveUsers() 找出來，重新指派 |
| 把 org admin 或 site admin 當成 Jira admin | Org／site admin 本身不一定有 Administer Jira | 加進 jira-administrators（或 jira-admins-{site}） |
Jira 的 global permissions 是給 group 的，所以 group 的增刪會直接改變誰能做全站層級的事。Jira admin 能改權限設定，但不能管使用者；要改 group 成員，要找 org admin 或 user access admin。
資料來源（6）有疑慮時點開看官方原文
- Unable to edit group name error in Jira Cloud (KB)
Jira Cloud prevents the renaming of a group if it is actively used in filters, permissions, or other settings.
- Unable to edit group name error in Jira Cloud (KB)
The error text lists which Jira settings currently reference the group (for example, "JQL Filters - Result").
- Email or Slack a list of work items assigned to deactivated users (KB)
A user's deactivation is an event under user management (admin.atlassian.com) and, hence, is separate from the Jira product.
- Email or Slack a list of work items assigned to deactivated users (KB)
This rule would check all the work items assigned to inactive users and send an email to the admins or a Slack message to the specified channel.
- What are global permissions, and what do they control? (Jira)
If you’re an Organization admin or a Site admin, you’ll need to add yourself to the jira-administrators group.
- Delete a group
Before you delete a group, check if the group is used to configure permissions in any of your apps.
Confluence
Group 與使用者變更在 Confluence 的影響
| 變更 | 在 Confluence 會看到什麼 | 怎麼處理 |
|---|---|---|
| 移除某個給 Confluence 的 group | 只靠這個 group 進 Confluence 的人失去存取 | 確認他們是否還在其他給 Confluence 的 group |
| 要讓某一個人不能用 Confluence | Confluence 不能單獨移除一個人 | 把他移出所有給 Confluence 的 group，或移除那些 group |
| 刪除 space 權限用到的 group | 原成員失去這個 space 的存取 | 刪之前先查 space 的 Users（角色）設定 |
| 唯一的 space admin 離職 | 沒有人能管這個 space 的權限 | Confluence admin 用 Recover Permissions 暫時成為 space admin，再指派新 admin |
| Free 方案 | Global permissions 不能自訂 | 升級付費方案才能編輯 |
- Confluence 的 licensed users 都是以 group 成員的身分進來；global permissions 只能給 group。只有 site admin、user access admin、org admin 能替 Confluence 加或移除 group。
- Space 權限（role-based access）可以給 user、group、team 或 user class（例如 All Confluence users），所以並非所有權限都靠 group。
- 匿名存取不計授權。
資料來源（7）・1 點無官方原文有疑慮時點開看官方原文
- Manage global permissions (Confluence)
Licensed users are given access to your Confluence instance as members of user groups.
- Manage global permissions (Confluence)
If you want to remove the user’s access from your Confluence instance without removing any groups, you’ll need to remove the user from all groups that have access.
- Manage global permissions (Confluence)
Only site admins, user access admins, and organization admins can add or remove user groups from Confluence.
- Manage global permissions (Confluence)
If a space is ever without a space admin — for example, if the only space admin for a space left the organization — a Confluence admin or site admin can always recover control over space permissions by becoming a space admin.
- Manage global permissions (Confluence)
Global permissions aren’t customizable on the Free plan.
- Add, change, or remove people's access from your space
Search for a user, group, team, user class, or app then select Add.
- Manage global permissions (Confluence)
Anonymous access doesn’t affect your license count.
- 找不到官方原文：刪除 space 權限用到的 group 後原成員失去存取Cloud 文件沒有一句直接寫；依 Delete a group 頁「先檢查 group 是否用來設定 app 內權限」整理。
排查
使用者說「我進不去」
- Invited 狀態卡住或 IdP 同步後仍進不去：檢查 group 與 app 角色的對應是否完整、app 內權限（例如 Jira company-managed project 的 Browse Projects）是否正確。
- User access admin 給不了或收不了存取：該 app 的 default group 也給了他不管的 app，或使用者在另一個也給其他 app 的 group 裡。找 org admin 改 default group，或讓他也成為那些 app 的 user access admin。
- 收不了 SCIM 使用者的存取：SCIM group 是唯讀的，要在 IdP 把人移出；從 IdP 同步的使用者也不會自動放進 default group。
- 邀請失敗：被 deactivate 或停用的帳號不能被邀請，要先重新啟用（managed account 由擁有它的 organization 處理）。
- 刪了 managed account 又出現：用 IdP 同步時，要先從 IdP 移除，否則帳號會被重新建立。
資料來源（6）有疑慮時點開看官方原文
- How does app access work?
If a user remains in 'Invite' status or has access issues despite being in groups synced from your Identity Provider, verify that:
- Troubleshoot issues related to managing groups
A user access admin won’t be able to grant access to an app if the app’s default group gives access to other apps they don’t administer.
- Troubleshoot issues related to managing groups
Because SCIM groups are read-only groups, you can’t remove the user from the SCIM group that grants access to Jira.
- Troubleshoot issues related to managing groups
Users provisioned from an identity provider aren’t added to default groups automatically.
- Can't invite user to Atlassian Cloud site, user is deactivated or disabled (KB)
Deactivated and disabled user accounts can't be invited to Cloud sites.
- Delete a managed account
If you don’t remove the user from your identity provider, their Atlassian account will get created again and they'll still be able to log in.
多個 organization
跨 organization、site 的變更
- 每個 organization 各有一份使用者與 group；同一個帳號在 A organization 被 remove 或 suspend，不影響他在 B organization。Managed account 被 deactivate 或 delete，則在所有 organization 都不能用。
- Original 介面：每個 site 各自管理使用者與 group；remove user 只移出這個 site，不影響同 organization 的其他 site。
- 合併 organization（consolidation）時：同名 group 會被改名；同一個帳號在一邊 active、另一邊 inactive，合併後會變成 inactive；來源 organization 的 org admin 會成為目的地的 org admin。
- 合併後 IdP 由目的地 organization 管理，會把使用者佈建到所有 site，可能讓人拿到原本沒有的 site 存取。
考題長相
「承包商同時在公司兩個 organization 都有存取，只要從其中一個收回」：在那個 organization Remove user。Deactivate 會讓他在所有 organization 都不能用，而且只對 managed account 可行。
資料來源（6）有疑慮時點開看官方原文
- Remove user or suspend their access
Removing a user doesn’t remove them from other sites in your organization or other organizations and doesn’t permanently delete their Atlassian account.
- Atlassian Organization consolidation guide
If the same user account is active in one organization and inactive in the other, the user will be inactive in the merged organization, potentially losing access to products.
- Atlassian Organization consolidation guide
Groups with the same name in both organizations will be renamed in the source using the format: {groupName}-{SourceOrgName}.
- Atlassian Organization consolidation guide
This means any users managed by your IDP may automatically gain access to sites they did not previously belong to.
- Atlassian Organization consolidation guide
Source organization admins become organization admins in the destination.
- Deactivate a managed account
When you deactivate an account, the user will no longer be able to use this account to access apps in any organization, submit tickets to Atlassian Support, post on Atlassian Community, or access license and order information at my.atlassian.com.
易錯觀念
考題愛用的錯誤說法
刪除 group 會一併刪除成員。
成員還在 organization；只有透過這個 group 拿到的存取與權限失效。
刪 group 後再建同名 group，就是全新的乾淨 group。
沒先移除的權限會自動套回同名的新 group；所以要先移除權限再刪。
把 group 從 app 移除，裡面每個人都會失去這個 app。
還在其他給同一 app 的 group 的人不受影響。
Delete managed account 會刪掉他建立的 Jira work item 與 Confluence page。
內容保留，作者顯示為 Former user；刪的是個人資料。
Deactivate 是 Jira 事件，可以用 Jira automation 的觸發器直接接。
Deactivate 是 user management 的事件；用排程 rule 搭配 inactiveUsers() 找出受影響的 work item。
Confluence 可以單獨把一個人從 Confluence 移除，不動 group。
Confluence 存取來自 group；要把他移出所有給 Confluence 的 group。
資料來源（6）有疑慮時點開看官方原文
- Delete a group
Delete a group when you no longer need to manage app access or permissions for a subset of users together. This doesn’t remove the users from your organization.
- Delete a group
This prevents any permissions from being automatically assigned in an app if a group is created with this name again.
- Remove app access for users
Users in this group will continue to have access to the app if they’re in other groups that give access to that app.
- Delete your Atlassian account
When your account is permanently deleted, Former user will appear in place of your name along with a Deleted lozenge.
- Email or Slack a list of work items assigned to deactivated users (KB)
A user's deactivation is an event under user management (admin.atlassian.com) and, hence, is separate from the Jira product.
- Manage global permissions (Confluence)
You can remove an individual user from your Confluence instance by simply removing all the user groups that include the user.
動手做
實作 Lab：改名被擋、刪 group、只靠一個 group 的人
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：親眼看 group 被 Jira filter 引用時改不了名、從 group 移除 app 時誰會受影響，以及刪 group 不會刪人。
這個 Lab 對應的考點
Group 被 Jira 設定（例如 filter 的 JQL）使用時不能改名；從 group 移除 app，還在其他給同一 app 的 group 的人不受影響；刪 group 不刪成員，但權限會跟著消失。
準備
- Leo、Kim 都有 Jira（來自 Jira 的 default group）。
- Leo 在 lab-team；Kim 不在。
步驟
- 你應該看到：lab-ghost 有兩位成員、有 Jira 的 User 角色。
- 你應該看到：Filter 存檔成功。
- 你應該看到：通常會被擋下，錯誤訊息列出引用這個 group 的 Jira 設定（例如 JQL Filters）。
- 你應該看到：改名成功，現在叫 lab-ghost2。
- 你應該看到：Leo 仍然能用 Jira：他還在 Jira 的 default group 裡。
- 你應該看到：Group 消失；Leo 與 Kim 仍在 Users 清單，只是 Groups 少了 lab-ghost2。
- 你應該看到：通常清單裡的對象都是 group（global permissions 只能給 group）；Free 方案不能自訂 global permissions，只看不改。
試試看：改一個設定，觀察差異
T1把 lab-team 加上 Confluence 的 User 角色，確認 Leo 只靠 lab-team 拿到 Confluence；再把 Confluence 從 lab-team 移除。看結果
Leo 失去 Confluence：他沒有其他給 Confluence 的 group。和步驟 5 對照：受影響的只有「只靠這個 group」的人。
T2（想像，不實際做）把一個 Jira permission scheme 用到的 group 直接刪掉，之後又建了同名 group。看結果
原本給這個 group 的權限會自動套回新的同名 group；所以官方建議先移除權限再刪 group。
T3（想像，不實際做）Kim 是 managed account 並被 deactivate。看結果
Deactivate 是 user management 的事件，不是 Jira 的事件；在 Jira 用
assignee in inactiveUsers() 找出她名下的 work item 重新指派。心像錨點：閉上眼睛想一次這個畫面
改 group 名稱時跳出的錯誤：「它被 Jira 管理設定使用」，下面列出 JQL Filters。刪組不刪人、先清權限再刪組。
收尾
- 確認 lab-ghost filter 與 lab-ghost2 都已刪除。
- lab-team 的 Confluence 角色移除（若做了 T1），Leo 的 Confluence 需要的話改用 Grant access 直接給。
資料來源（4）有疑慮時點開看官方原文
- Unable to edit group name error in Jira Cloud (KB)
Jira Cloud prevents the renaming of a group if it is actively used in filters, permissions, or other settings.
- Remove app access for users
Users in this group will continue to have access to the app if they’re in other groups that give access to that app.
- Delete a group
This prevents any permissions from being automatically assigned in an app if a group is created with this name again.
- Manage global permissions (Confluence)
Global permissions aren’t customizable on the Free plan.
一分鐘腦內整理
讀完了？用這張收攏整節
刪組不刪人、先清權限再刪組刪 group 的兩條規則。
移出組、移除 app：只靠它的人才受影響
帳號層級才跨 orgDeactivate、delete。
每個動作改到什麼
- 刪 group／移出 group：只靠這個 group 的存取才會消失。
- Deactivate、delete 是帳號層級，影響所有 organization。
Group 與使用者變更在 Jira 的影響
- Group 被 Jira filter 或設定引用時不能改名。
- 用 inactiveUsers() 找停用者名下的 work item。
Group 與使用者變更在 Confluence 的影響
- Confluence 存取全靠 group：要擋一個人，就把他移出所有給 Confluence 的 group。
- 唯一 space admin 離職 → Recover Permissions。
使用者說「我進不去」
- 先看狀態與角色，再看 app 內權限，最後看同步來源。
- SCIM group 唯讀：在 IdP 改。
跨 organization、site 的變更
- Remove／suspend：只影響這個 organization（original：這個 site）。
- Deactivate／delete：帳號層級、所有 organization。
本節練習
做題
題目載入中…
官方來源（本節依據）
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。