520.4.2・Atlassian Guard & advanced administration 16%
Atlassian Guard
Atlassian Guard（舊名 Atlassian Access）把 organization 接上公司的 identity provider，並集中管理登入政策、API token 與外部帳號。這一節考你分清 Standard 與 Premium、計費方式，以及 SSO、provisioning、authentication policy 的關係。
官方考綱原文（這一節會考的範圍）
- (Domain 4, 2026) Atlassian Guard & advanced administration新版 domain 4 名稱：Atlassian Guard 與進階管理
- Understand what is Atlassian Access (included in the Enterprise plan or purchased as a subscription on other plans)了解 Atlassian Access（現名 Atlassian Guard）：Enterprise 方案已內含，其他方案另外訂閱
- Understand that you can connect your identity provider to your Atlassian organization for single sign-on, user sync, and provisioning了解可以把 identity provider 接到 organization，做 SSO、使用者同步與 provisioning
- Understand how Shadow IT sites are created了解 Shadow IT site 是怎麼產生的
- Understand how to revoke a user's API tokens了解怎麼撤銷使用者的 API token
- Use admin insights使用 admin insights
3 分鐘速覽
Atlassian Guard（舊名 Atlassian Access）：organization 層級的安全訂閱
- Guard 是什麼Atlassian Guard（舊名 Atlassian Access）是替整個 organization 買的訂閱，提供使用者管理、身分驗證、資料保護與威脅偵測。
- Standard 與 PremiumGuard Standard 有 SAML SSO、user provisioning、user API token 管理、多個 authentication policy、external user 安全政策；Guard Premium 是加購，再加資料分類、敏感資料偵測、威脅偵測、延伸 audit log。
- 計費Guard Standard 依 organization 計費，每個有 app 存取的 managed account 或 external user 只算一次；Enterprise 方案已含 Guard Standard，不重複收費。
- Authentication policies依使用者分組設定 SSO、2SV、密碼、session、API token；每人同時只屬於一個 policy，最多 20 個 policy，成員來自 managed accounts。
- SSO 與 provisioningSAML SSO 只適用已驗證網域的帳號；user provisioning 用 SCIM 2.0，從 IdP 建立、更新、停用帳號並同步 group。
- API token 與 shadow ITInsights → API token activity 可看、可撤銷 managed account 的 API token；shadow IT 是使用者自己開的 app，Guard 會發 email 通知。
資料來源（5）有疑慮時點開看官方原文
- Understand Atlassian Guard
Atlassian Guard is a subscription that you purchase for your Atlassian organization.
- Manage your bill for Atlassian Guard Standard
Atlassian Guard Standard (formerly known as Atlassian Access) provides user management, enterprise-grade authentication, and data security protection.
- Understand Atlassian Guard
Atlassian Guard Premium is an add-on for Atlassian Guard Standard.
- Manage your bill for Atlassian Guard Standard
Atlassian Guard Standard is billed per organization.
- Edit authentication settings and members
A member can only be in one policy at a time.
方案與計費
Guard Standard、Guard Premium，誰要付費
| 功能 | 需要的方案 |
|---|---|
| SAML single sign-on | Guard Standard |
| User provisioning（SCIM） | Guard Standard |
| User API token management | Guard Standard |
| Multiple authentication policies | Guard Standard |
| External user security policies | Guard Standard |
| Organization insights、組織管理活動的 audit log | Guard Standard |
| Data classification、sensitive data detection、threat detection | Guard Premium |
| 使用者建立內容的 audit log | Guard Premium（Enterprise 方案也有） |
| Audit log webhook | Guard Premium |
這張表最該記的：SSO、provisioning、多個 policy、external user 政策都是 Guard Standard；「偵測」與「分類」類的功能才是 Guard Premium。Guard Premium 是 Guard Standard 的加購，不能單獨買。
誰算 Guard Standard 的計費使用者
- 是 managed account 或 external user，而且能存取 Jira、Confluence、Bitbucket、Trello、Jira Service Management 其中之一；只能存取 sandbox 的人也算。
- 不論能用幾個 app、幾個 site，每人只算一次。
- 不算：沒有 app 存取、帳號已停用、只用 JSM help center（customer）、只用 Jira Product Discovery、在 non-billable authentication policy 裡、方案已含 Guard Standard（例如 Enterprise）。
- 要開始用 Guard Standard：要有 organization、驗證至少一個網域、再訂閱。開通位置是 Security → Start 30-day free trial。
考題長相
「Jira Standard 100 人，其中 50 人也用 Confluence Standard，Guard Standard 帳單算幾人？」答案是 100：每人只算一次。若 1,500 人用 Enterprise 的 Jira 與 Confluence、另有 50 人用 Bitbucket Standard，Guard 帳單是 50，因為 Enterprise 已含 Guard Standard。
資料來源（6）有疑慮時點開看官方原文
- Atlassian Guard app and plan availability
Some Atlassian Guard capabilities are only available in certain apps and plans or in Atlassian Government Cloud.
- Understand Atlassian Guard
Atlassian Guard Standard provides capabilities such as single sign-on, user provisioning, user API token management, data security controls, and more.
- Understand Atlassian Guard
It provides everything in Atlassian Guard Standard, and capabilities such as data classification, sensitive data detection, threat detection, and extended audit logs.
- Manage your bill for Atlassian Guard Standard
This means you pay only once per managed account and external user in your organization.
- Manage your bill for Atlassian Guard Standard
For example, users on an Enterprise plan are not counted as they already have access to Guard features.
- Understand Atlassian Guard
Select Start 30-day free trial and follow the prompts.
Authentication policies
依使用者分組設定登入規則
Authentication policy 決定一群 managed account 要怎麼登入。每個 organization 一開始就有一個 default policy；新 provision 的 managed account，或用 linked domain claim 進來的帳號，都會自動加進 default policy。要建立第二個以上的 policy，需要 Guard Standard。Policy 是針對使用者、不是針對 app；要給人 app 存取，仍然是另外指派 app 角色。
| 設定 | 說明 |
|---|---|
| Single sign-on（SAML 或 Google Workspace） | Enforce single sign-on：成員必須透過 IdP 登入（Guard Standard） |
| Two-step verification | Mandatory 或 Optional；啟用 SSO 後改在 IdP 設定 |
| Third-party login | 允許或封鎖用 Google、Microsoft、Apple、Slack 帳號登入 |
| Password requirements | 最低強度與到期天數；預設不會過期 |
| Idle session duration／Session expiration | 閒置多久登出；固定多久一定要重新登入 |
| User API tokens | 允許或封鎖建立、使用 API token；預設允許，更新最多 10 分鐘生效 |
| API token expiration | 1～365 天或永不過期；預設建立後一年過期 |
這張表最該記的：一旦對某個 policy 啟用 SSO，2SV、密碼規則、third-party login 都改由 IdP 管，Atlassian 這邊的設定會被略過。
強制 SSO 前先留一條後路
對不在 IdP 裡的人強制 SSO，他們就無法登入。官方建議：先建一個測試 policy 只放少數帳號試 SSO；並準備一個用未驗證網域 email 的 org admin 帳號，放在不強制 SSO 的 policy，萬一設定錯了還能登入修正。
官方說法不一致：2SV 要不要 Guard
Enforce two-step verification 頁的「Who can do this」寫「All plans」，Authentication policy settings 頁的表格也把 2SV 的 Optional 列標為「Included by default」；但同頁的「Who can do this」寫套用 2SV 要 Guard Standard，Insights 頁也寫用 authentication policy 強制 2SV 要 Guard Standard。考題若問「哪個功能一定要 Guard」，選 SSO、user provisioning、多個 policy 這些沒有爭議的。
自我檢查：先在心裡回答，再點開對答案
Q1一位成員手機遺失，被強制 2SV 的 policy 擋在外面，怎麼處理？看答案
把他暫時移到 2SV 為 Optional 的 policy，從他的 managed account 頁 Reset two-step verification，等他重設後再移回原 policy。
資料來源（8）有疑慮時點開看官方原文
- Understand authentication policies
Every organization has at least one default authentication policy that applies to all users unless they’re moved to another policy.
- What is a default authentication policy?
When you provision new managed accounts, or when users' accounts are claimed with a linked domain, we add them as members to your default policy.
- Understand authentication policies
Your organization needs an Atlassian Guard Standard subscription, or be in the Atlassian Government environment, to create more than one authentication policy.
- Authentication policy settings for your organizations
If you enable SSO, you can only set up two-step verification in your identity provider and not your authentication policy.
- Authentication policy settings for your organizations
If you enable SSO login on users who are not in the identity provider, the users can’t log in to Atlassian apps.
- Enforce two-step verification
In the Settings tab, select Mandatory for two-step verification.
- Authentication policy settings for your organizations
Atlassian Guard Standard to create more than one authentication policy and apply single sign-on (SSO), two-step verification, and mobile session expiration.
- Gain insights into app usage and security practices
Use an authentication policy to mandate two-step verification for managed accounts.
SSO 與 provisioning
把 identity provider 接到 organization
SAML single sign-on 讓使用者用公司 identity provider（IdP，例如 Okta、Microsoft Entra ID）登入一次，就能使用多個 Atlassian app。User provisioning 則是用 SCIM 2.0 從 IdP 自動建立、更新、停用帳號並同步 group。兩者都需要 Guard Standard，也都建立在已驗證的網域上。
| SAML Just-in-time | SCIM user provisioning | |
|---|---|---|
| 何時建帳號 | 使用者第一次用 SAML 登入時 | IdP 指派時就同步建立，不寄邀請信 |
| 條件 | 網域已 link 到 IdP directory，且 default policy 強制 SAML SSO | Guard Standard；IdP 支援 SCIM（或自己用 provisioning API 串） |
| 停用帳號 | 要在 organization 與 IdP 兩邊都停用 | 只要在 IdP 停用 |
| Group | — | IdP 推過來的 group 在 organization 是唯讀；default group 不能用 SCIM 管 |
這張表最該記的：連上 SCIM 之後，使用者屬性與 group 成員都改由 IdP 管；Atlassian 這邊不能改。IdP 推來的 group 若和 organization 既有 group 同名會報錯，和 site-admins、org-admins 這類內建 group 同名也無法同步。
考題長相
「Admin 想對外包人員（用 gmail.com）也套用 SAML SSO。」不行：SAML SSO 只適用你能驗證的網域。要管 external user 的登入，改用 external user policy（要求 SSO 或 one-time passcode）。
資料來源（6）有疑慮時點開看官方原文
- Configure SAML single sign-on with an identity provider
SSO only applies to user accounts from your verified domains.
- Configure SAML single sign-on with an identity provider
Link verified domains to your identity provider directory.
- Configure SAML single sign-on with an identity provider
If you also set up user provisioning for your organization, you only need to deactivate the user from your identity provider.
- Understand user provisioning
We support user provisioning using the System for Cross-domain Identity Management (SCIM), and this feature uses the SCIM 2.0 version of the protocol.
- Understand user provisioning
We don’t send users an invitation when they’re provisioned from an identity provider through SCIM or synced from Google Workspace.
- Understand user provisioning
The group gets created as a read-only group in the organization's directory.
API token 與 external users
撤銷 user API token、管住外部帳號
User API token 是使用者自己在帳號設定裡建立、用來跑 script 呼叫 app API 的憑證。Org admin 可以在 Insights → API token activity 集中看到所有 managed account 建立的 token：何時建立、何時到期、最後使用時間，並選一把或多把 Revoke。撤銷是永久刪除、無法復原。也可以從使用者頁的 Security 分頁撤銷單一 token。
| 你想要 | 怎麼做 |
|---|---|
| 撤銷某人（managed account）的 token | Insights → API token activity → Revoke；或使用者頁 → Security → API tokens |
| 禁止某群 managed account 建立或使用 token | Authentication policy → Block members from creating a new or using an existing API token |
| 讓 token 更快過期 | Authentication policy 的 API token expiration（1～365 天） |
| 禁止所有 external user 用 token 呼叫 API | External user policy 的 API token access（套用到全部 external user） |
External user policy
External user 是你沒有管理的帳號。Security → User security → External users 的 external user policy 套用到所有 external user：Authorization method 可選 single sign-on、one-time passcode（寄到 email 的一次性密碼）或 None；另外可設 session 到期、封鎖 email 內容預覽與行動通知、封鎖 API token。預設 external user 不需要再驗證身分就能存取。
官方說法不一致：看與撤銷 token 要不要 Guard
View API token activity 與 Revoke user API tokens 頁寫「Any plan」；但 Guard 方案表把 User API token management 列為 Guard Standard。作答時記住：撤銷 managed account 的 token 是 org admin 在 Insights 做的事；考綱稱這是 Atlassian Access 的能力。
資料來源（5）有疑慮時點開看官方原文
- View API token activity
You’re able to view all the API tokens that managed accounts create in your organization from a central location.
- Revoke user API tokens
We permanently delete the API token. You’re unable to undo this action.
- Understand user API tokens
You can see how many active tokens exist, when they were created, when they expire, and the last time the token was used.
- Available external user security policy settings
By default, external users in your organization can access app data without needing to verify their identity your organization.
- Available external user security policy settings
When external users try to access app data in your Atlassian organization, they must verify their identity with a temporary one-time passcode that they receive through their email.
Shadow IT 與 insights
使用者自己開的 app、organization 的使用分析
Shadow IT 指使用者自己註冊、自己管理的 Atlassian app。它們不在你的 organization 底下，所以 Atlassian Administration 的 Apps 頁找不到。風險有三：資料不在你的掌控中（使用者還可能加外部人進去）、帳單可能超出預期、事後整併要花工夫。
- Discover shadow IT apps（Guard Standard）：你的 managed account 自己註冊 Atlassian app 時，你會收到 email，並可在 Shadow IT apps 畫面看到清單、匯出 CSV、聯絡該 app 的 admin。
- 官方寫的是「managed account 自己註冊 app 時」才通知，所以要先驗證網域並 claim 帳號，這個功能才有對象（推論）。
- Insights → Analytics：看哪些網域有 app 存取、managed account 與 external user 的人數、managed account 用 SSO 或 2SV 登入的比例、行動 app 使用、Jira 使用率等。部分圖表要 Guard Standard 或 Premium 方案，多數每 24 小時更新。
考題長相
「Admin 想知道員工自己用公司 email 開了哪些 Jira site。」答案是 Guard 的 Shadow IT apps（discovered apps），不是 Apps 頁，也不是 audit log。考綱用語是「Understand how Shadow IT sites are created」：使用者自己去註冊就會產生。
資料來源（5）・1 點無官方原文有疑慮時點開看官方原文
- What is the impact of shadow IT on my organization?
Shadow IT is what we call users signing up for an app on their own.
- What is the impact of shadow IT on my organization?
This means that you won’t find them under the Apps tab at Atlassian Administration with the rest of your organization’s apps.
- Discover shadow IT apps your users administer
When one of your managed accounts signs up for an Atlassian app, you receive an email letting you know.
- 找不到官方原文：要先 claim 帳號才偵測得到 shadow ITDiscover shadow IT apps 頁只寫 managed account 註冊 app 時會通知；「沒有 managed account 就沒有偵測對象」是依此推論。
- Gain insights into app usage and security practices
Some charts require Atlassian Guard Standard or a Premium plan
- Gain insights into app usage and security practices
The authentication for managed accounts chart shows how your users log in to their Atlassian accounts.
易錯觀念
考題愛用的錯誤說法
Guard Premium 可以單獨訂閱，取代 Guard Standard。
Guard Premium 是 Guard Standard 的加購。
Premium 包含 Standard 的全部功能，再加偵測與分類。
用 Jira 與 Confluence 的人，Guard Standard 要算兩次。
每個計費使用者只算一次，不論用幾個 app。
Guard Standard 依 organization 計費。
SAML SSO 可以套用到外包人員的 gmail.com 帳號。
SAML SSO 只適用已驗證網域的帳號；external user 用 external user policy。
網域不是你的，就不能用 SAML SSO 管它。
同一個使用者可以同時屬於兩個 authentication policy。
一個成員同時只能在一個 policy。
移到另一個 policy 時，會在下次登入套用。
啟用 SSO 後，仍可在 authentication policy 強制 2SV。
啟用 SSO 後，2SV 要在 IdP 設定。
SAML 登入時會略過 Atlassian 的密碼政策與 2SV。
撤銷的 user API token 之後可以還原。
撤銷會永久刪除 token，無法復原。
使用者要重新建立新的 token。
Shadow IT app 會出現在 Atlassian Administration 的 Apps 頁。
它們不在你的 organization 底下，要看 Shadow IT apps 畫面。
Apps 頁只有你 organization 的 app。
資料來源（7）有疑慮時點開看官方原文
- Understand Atlassian Guard
Atlassian Guard Premium is an add-on for Atlassian Guard Standard.
- Manage your bill for Atlassian Guard Standard
They are billed once, regardless of how many Atlassian apps they access.
- Configure SAML single sign-on with an identity provider
you can only use SAML single sign-on with domains you can verify that you own.
- Edit authentication settings and members
A member can only be in one policy at a time.
- Configure SAML single sign-on with an identity provider
When SAML single sign-on is configured, users won't be subject to Atlassian password policy and two-step verification if those are configured for your organization.
- Revoke user API tokens
We permanently delete the API token. You’re unable to undo this action.
- What is the impact of shadow IT on my organization?
This means that you won’t find them under the Apps tab at Atlassian Administration with the rest of your organization’s apps.
動手做
實作 Lab：試用 Guard：建第二個 policy、管外部帳號
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：開 Atlassian Guard 的 30 天試用，看 authentication policies、identity providers、external user policy、API token activity 的畫面，並對 external user 開一次 one-time passcode。
這個 Lab 對應的考點
多個 authentication policy、SAML SSO、user provisioning、external user policy 都屬於 Guard Standard；policy 成員來自 managed accounts；external user policy 一次套用到所有 external user。
準備
- Leo 能用自己的瀏覽器設定檔登入 labjira（Leo 是 external user）。
步驟
- 你應該看到：試用開始；Security 底下的 User security 出現 Authentication policies、Identity providers、External users 等項目。
- 你應該看到：這是 default policy，有 Settings 與 Members 兩個分頁。Lab Org 沒有 managed account 時，Members 通常是空的。
- 你應該看到：清單出現第二個 policy。建立多個 policy 需要 Guard Standard，所以試用前做不到。
- 你應該看到：看得到可選的 identity provider（例如 Okta、Microsoft Entra ID、Google Workspace），以及之後要設定的 SAML single sign-on 與 user provisioning。
- 你應該看到：Policy 更新完成；這個設定套用到所有 external user，不能只套某幾個人。
- 你應該看到：通常會被要求輸入寄到 Leo email 的一次性密碼，驗證後才能看到 Jira 的內容。
- 你應該看到：API token activity 只列 managed account 建立的 token，Lab Org 通常是空的；Analytics 有使用者、驗證方式等圖表，部分圖表要 Guard 或 Premium 才顯示。
試試看：改一個設定，觀察差異
T1把 External user policy 的 Authorization method 改回 None，Leo 再重新打開 labjira。看結果
不再要求一次性密碼。若 Leo 的 session 還沒過期，可能本來就不會再被問一次。
T2（想像，不實際做）在 default policy 啟用 Enforce single sign-on，但公司 IdP 裡沒有你自己的帳號。看結果
不在 IdP 裡的成員會無法登入。所以官方建議先用測試 policy 試，並準備一個用未驗證網域 email 的 org admin 帳號，放在不強制 SSO 的 policy。
T3（想像，不實際做）在 lab-test policy 選 Block members from creating a new or using an existing API token。看結果
成員既有的 user API token 會在下一次呼叫 API 時被擋，更新最多要 10 分鐘生效。
心像錨點：閉上眼睛想一次這個畫面
Security → User security 的四個項目：Authentication policies 管自己人、External users 管外人、Identity providers 接 IdP。Leo 登入時跳出的一次性密碼畫面。
收尾
- External user policy 的 Authorization method 改回 None。
- 刪除 lab-test：Authentication policies → lab-test 的 Edit → Delete policy。
- 先完成上面兩項，再到 Billing 找 Atlassian Guard Standard 的訂閱（Manage）取消訂閱（官方說可以隨時 unsubscribe；按鈕名稱以畫面為準），避免試用結束後轉成付費。
資料來源（5）有疑慮時點開看官方原文
- Understand Atlassian Guard
Select Start 30-day free trial and follow the prompts.
- What is a default authentication policy?
Select Security, then User security, then Authentication policies.
- Enforce two-step verification
For Authorization method, select One-time passcode.
- View API token activity
Select Insights, then API token activity.
- Manage your bill for Atlassian Guard Standard
If you no longer need Atlassian Guard Standard, you can unsubscribe at any time.
一分鐘腦內整理
讀完了？用這張收攏整節
登、配、令、外、影SSO（登入）、provisioning（配發）、API token（令牌）、external user、shadow IT：Guard Standard 的五件事。
偵測分類找 PremiumThreat detection、sensitive data、data classification 是 Guard Premium。
Guard Standard、Guard Premium，誰要付費
- Standard：SSO、SCIM、API token、多 policy；Premium：偵測、分類。
- 每人只算一次；Enterprise 已含 Guard Standard。
依使用者分組設定登入規則
- Default policy 自動收新的 managed account；建第二個 policy 要 Guard Standard。
- 啟用 SSO 後，2SV 與密碼規則改在 IdP 設定。
把 identity provider 接到 organization
- SAML SSO 只適用已驗證網域的帳號。
- SCIM 同步的 group 是唯讀，只能在 IdP 改。
撤銷 user API token、管住外部帳號
- Insights → API token activity：看、撤銷 managed account 的 token，撤銷不可復原。
- External user policy：SSO、one-time passcode 或 None，套用全部 external user。
使用者自己開的 app、organization 的使用分析
- Shadow IT＝使用者自己註冊的 app，不在 Apps 頁。
- Insights → Analytics 看驗證方式、網域分布、使用率。
本節練習
做題
題目載入中…
官方來源（本節依據）
- Understand Atlassian Guard
- Atlassian Guard app and plan availability
- Manage your bill for Atlassian Guard Standard
- Authentication policy settings
- Configure SAML single sign-on
- Understand user provisioning
- Revoke user API tokens
- What is the impact of shadow IT?
- Gain insights into app usage and security practices
- Available external user security policy settings
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。