520.4.3・Atlassian Guard & advanced administration 16%
IP allowlist 與 data residency
IP allowlist 限制使用者從哪裡連進 app，data residency 決定 app 資料存放的地區。這一節考兩者的方案限制、作用範圍與例外。
官方考綱原文（這一節會考的範圍）
- Configure release tracks, sandboxes, IP allowlisting, admin APIs, and application tunnels（新版能力清單）設定 release tracks、sandboxes、IP allowlisting、admin APIs 與 application tunnels
- Configure IP allowlisting設定 IP allowlisting（舊版 4.2 Configure Premium features）
- View and manage data residency檢視與管理 data residency（舊版 4.3）
3 分鐘速覽
限制從哪裡連進來、資料放在哪裡
- IP allowlist 的方案Jira、Jira Service Management、Confluence、Compass 要 Premium；Atlassian Analytics 與 Focus 要 Enterprise。
- IP allowlist 擋什麼不在清單的 IP 或地區，看不到 Jira、JSM、Confluence 的內容，也不能用 API 存取；admin.atlassian.com 不受影響。
- 設定位置與上限Security → Device security → IP allowlists；每個 app 最多 500 個 IP、CIDR 網段或地區，支援 IPv4 與 IPv6。
- 例外home.atlassian.com 的最近瀏覽、通知內容、Smart Links 擋不到；Connect app、Forge app、OAuth 2.0（3LO）、2LO application link 也不受限。Rovo 要另外設。
- Data residency決定 Jira、JSM、JPD、Confluence、Loom 的 in-scope 資料存放在哪個地區；以 app 為單位，不能只設某個 project 或使用者。
- 搬移資料Data management → Data residency → Set location；最多停機 24 小時，同一個 site URL 的 Jira 類 app 一起搬，sandbox 不跟著搬。
資料來源（5）有疑慮時點開看官方原文
- Specify IP addresses for app access
Premium plan for Jira, Jira Service Management, Confluence, and Compass.
- Specify IP addresses for app access
You will be able to access admin.atlassian.com even if the IP is outside the range of the allowlist.
- Specify IP addresses for app access
You can set up 500 IP addresses, network blocks, or locations per app.
- Understand data residency
Note that Data residency is configured at the Atlassian app level.
- Move Atlassian app data to another location
As a result, we move all Jira Cloud apps on the same site URL together.
IP allowlist
只讓公司網路連得進來
IP allowlist 指定使用者必須從哪些 IP 位址或地區（location）存取內容。不在清單裡的人打開 Jira 或 Confluence，會看到一段說明為什麼沒有存取權；他們也不能透過 API 存取該 app。這是 org admin 在 organization 層級設定的功能，考綱把它歸在 Premium 功能。
| 項目 | 內容 |
|---|---|
| 誰能設定 | Organization admin |
| 方案 | Jira、JSM、Confluence、Compass：Premium；Atlassian Analytics、Focus：Enterprise |
| 會受限的地方 | Confluence space 與 page（含 public link）、Confluence 管理、Jira 的 issue 與 project、JSM 同一個 site URL 的 portal（customer 與 agent）、Jira 管理 |
| 可填的值 | 單一 IPv4／IPv6、CIDR 網段（例如 104.192.143.0/28）、地區（例如 Australia） |
| 上限 | 每個 app 在所有啟用中的 allowlist 合計 500 個 IP 或地區 |
這張表最該記的：JSM 的 customer portal 也會受限，所以只開放公司 IP 會讓外部客戶連不到 portal。另外 admin.atlassian.com 不受 allowlist 限制，所以 admin 設錯了也能回來修。
資料來源（5）有疑慮時點開看官方原文
- Specify IP addresses for app access
Use an IP allowlist to specify which IP addresses or locations users must use to access content in Jira, Jira Service Management, Confluence, Atlassian Analytics, and Focus.
- Specify IP addresses for app access
Enterprise plan for Atlassian Analytics and Focus.
- Specify IP addresses for app access
If users attempt to access these pages from an IP address or location that is not in the allowlist, they’ll see a message explaining why they don’t have access.
- Specify IP addresses for app access
Users also won't be able to access that app programmatically via the APIs.
- Specify IP addresses for app access
Jira Service Management customer and agent-facing portals within the same site URL
例外與 Rovo
IP allowlist 擋不到的地方
| 類別 | 例子 | 為什麼要知道 |
|---|---|---|
| 一定看得到的資訊 | home.atlassian.com 的 Recent history、通知內容、別人分享的 Smart Links | 不在清單的人仍可能看到標題等資訊 |
| 不受限的整合 | 使用 TwoLeggedOAuth 的 application link、Connect app、Forge app（2LO、3LO）、OAuth 2.0（3LO）app | 第三方整合不會因為 allowlist 斷線 |
| Rovo | Jira、Confluence 的 allowlist 不會套到所有 Rovo 功能；要在建立 allowlist 時另外選 Rovo | 沒設的話，Rovo 仍可能帶出受限內容的標題或摘要 |
這張表最該記的：IP allowlist 不是萬無一失的資料外洩防線，Rovo 尤其要另外設定，而且 Rovo 的 allowlist 會套用到 organization 底下所有 site，要填整個公司的 IP 範圍，以免把人鎖在外面。
實務小問題
使用者換到 allowlist 內的網路後仍被擋，可能是 Chrome 沒更新 IP；官方建議用 Ctrl／Cmd＋Shift＋R 清快取。用 Zscaler 這類代理的公司，要把代理的出口 IP 加進 allowlist，或讓 Atlassian 網域不經代理。
資料來源（5）有疑慮時點開看官方原文
- Specify IP addresses for app access
Regardless of your IP allowlists, users can always see the following information types:
- Specify IP addresses for app access
Smart Links that anyone shares in Confluence or Jira
- Specify IP addresses for app access
Application links that use TwoLeggedOAuth
- Specify IP addresses for app access
However, IP allowlist controls for individual apps, such as Jira and Confluence, do not apply to all Rovo experiences.
- Specify IP addresses for app access
tell your users to clear their browser's cache by entering these keys
Data residency
選擇 app 資料存放的地區
Data residency 讓你指定 Jira、Jira Service Management、Jira Product Discovery、Confluence、Loom 的 in-scope 資料放在哪個地理位置，例如 EU 或 USA。受監管產業（金融、政府、醫療）常需要它；資料離使用者近也可能提升效能。現行文件寫 Standard、Premium、Enterprise 方案都可用。
| 概念 | 說明 |
|---|---|
| 預設 | 所有 app 預設在 Global，狀態顯示 Not set：資料依營運需要在各 AWS region 間動態移動 |
| Pinned | 已固定在某個地區；in-scope 資料就放在那裡，備份也存在同一地區 |
| 設定單位 | 以 app 為單位，不能只設某個 project、客戶或使用者 |
| 可選地區 | Australia、Canada、EU、Germany、India、Japan、Singapore、South Korea、Switzerland、United Kingdom、USA（另有 Global） |
| USA | 包含 US East 與 US West，不能只指定其中一個 |
| 不能 pin 的資料 | 使用者帳號資訊（姓名、email、頭像）、app analytics、AI data、Jira 的 DevOps 連結資料、Guard 的 audit log 等 |
這張表最該記的：使用者帳號資訊集中放在全球複寫的身分服務，不屬於 data residency 範圍；所以「把使用者資料也鎖在 EU」做不到。查看位置的路徑是 Data management → Data residency。
考題長相
「法規要求只有某一個 Jira project 的資料要放在德國。」做不到：data residency 以 app 為單位設定。若改問「整個 Jira 的 issue、附件、comment 要放在 EU」，答案才是把 Jira pin 到 EU。
資料來源（5）有疑慮時點開看官方原文
- Understand data residency
Data residency gives you control over where your in-scope app data for Jira, Jira Service Management, Jira Product Discovery, Confluence, and Loom is hosted.
- Understand data residency
It can’t be set at the individual project, client, or user level within the app.
- Understand data residency
By default, all Atlassian apps are hosted in the Global location, which includes all of our AWS regions.
- Understand data residency
Data residency can’t be set specifically to US-East or US-West within the USA region.
- Understand data residency
As such, user account information data is considered out-of-scope for data residency.
搬移資料
Set location：排程、停機、哪些一起搬
| 影響 | 說明 |
|---|---|
| 停機 | 搬移開始時 app 會離線，依資料量 2～24 小時；建議預留 24 小時 |
| Jira 類 app | 同一個 site URL 上的 Jira、JSM 一起搬、一起離線、一起 pin 到新地區 |
| Sandbox | 新建的 sandbox 跟著 production 的地區；但搬 production 時 sandbox 不會跟著搬，要另外申請 |
| Confluence | 離線時編輯中的變更不會儲存；回來後要重建索引，搜尋最多 3 天不完整 |
| Move window | Maintenance window（預估停機不到兩小時）、48 小時內、或自選 24 小時時段（至少提前三天申請） |
| Marketplace apps | 部分支援的會一起搬，部分要另外搬，不支援的不會搬 |
| Loom | 只能在加入 organization 時選地區（Germany 或 United States）；既有的 Loom 資料目前不能搬 |
這張表最該記的：Atlassian 會先在新地區建立副本、確認一致後才刪除原地區的資料。考題常考「搬 Jira 會不會連 JSM 一起停機」：會，同一個 site URL 的 Jira 類 app 一起搬。
資料來源（6）有疑慮時點開看官方原文
- Move Atlassian app data to another location
Select Set location.
- Move Atlassian app data to another location
You can cancel a data residency move as long the status is MOVE SCHEDULED.
- Move Atlassian app data to another location
We don’t, however, move sandboxes with their linked Atlassian app.
- Understand data residency
Downtime may last up to 24 hours, depending on data size.
- Move Atlassian app data to another location
We only delete your source app data once we have confirmed that your Atlassianapp data is in your selected location.
- Move Atlassian app data to another location
You can select your data region (Germany or United States) when adding Loom to your organization.
易錯觀念
考題愛用的錯誤說法
IP allowlist 在 Jira Standard 就能用。
Jira、JSM、Confluence 的 IP allowlist 要 Premium。
Atlassian Analytics 與 Focus 甚至要 Enterprise。
IP 設錯了，admin 也會被鎖在 admin.atlassian.com 外面。
admin.atlassian.com 不受 IP allowlist 限制。
所以 admin 永遠能回來修正 allowlist。
設了 Jira 與 Confluence 的 allowlist，Rovo 也一併受限。
Rovo 要在 allowlist 另外選；否則可能帶出受限內容的標題或摘要。
Rovo 的控制在 organization 層級，套到所有 site。
Data residency 可以只針對某個 project 設定。
以 app 為單位，不能只設 project、客戶或使用者。
要分開存放，就要放在不同的 app 執行個體。
Pin 到 EU 之後，使用者的姓名與 email 也存在 EU。
使用者帳號資訊不在 data residency 範圍。
它存在全球複寫的身分服務。
Data residency 搬移開始後還能取消。
只有 MOVE SCHEDULED 時能取消；MOVE IN PROGRESS 就不能。
搬移開始時 app 會離線。
資料來源（6）有疑慮時點開看官方原文
- Specify IP addresses for app access
Premium plan for Jira, Jira Service Management, Confluence, and Compass.
- Specify IP addresses for app access
You will be able to access admin.atlassian.com even if the IP is outside the range of the allowlist.
- Specify IP addresses for app access
Admins can apply IP allowlisting controls to Rovo experiences at the organization level:
- Understand data residency
It can’t be set at the individual project, client, or user level within the app.
- Understand data residency
Atlassian apps use representative IDs to access this information without storing it directly.
- Move Atlassian app data to another location
You can’t cancel a move after the status has changed to MOVE IN PROGRESS.
動手做
實作 Lab：把自己擋在門外，再從 admin 進來修
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：建一個不含你 IP 的 IP allowlist，親眼看 Jira 被擋、admin.atlassian.com 照樣能進；再看 data residency 的位置與搬移精靈（只看不做）。
這個 Lab 對應的考點
IP allowlist 的 Jira、JSM、Confluence 要 Premium；不在清單的人會看到說明訊息，也不能用 API；admin.atlassian.com 不受限。Data residency 以 app 為單位，預設 Global（Not set）。
準備
- labjira 的 Jira 已開 Premium 試用。
- 查好你目前的對外 IP（例如用搜尋引擎查 my ip）。
步驟
- 你應該看到：還沒有任何 allowlist，有建立 allowlist 的按鈕。
- 你應該看到：lab-block 出現在清單，但還沒啟用。
- 你應該看到：lab-block 變成啟用中。
- 你應該看到：Jira 通常會顯示一段說明你為什麼沒有存取權的訊息；Confluence 沒被選進 allowlist，照常可用。
- 你應該看到：照常進得去：admin.atlassian.com 不受 IP allowlist 限制，所以設錯了還能回來修。
- 你應該看到：Jira 恢復可用。若還是被擋，通常是瀏覽器快取了舊的 IP，強制重新整理即可。
- 你應該看到：通常列出 org 裡的 app 與它們的位置；沒設定過時顯示 Not set（Global），app details 看得到目前的 AWS region。Confluence 是 Free 方案，可能不能搬（data residency 要 Standard 以上）。
- 你應該看到：精靈會說明搬移要停機、要選 move window、要檢查 Marketplace apps。
試試看：改一個設定，觀察差異
T1把 lab-block 的 Access origin 改成 Location，先選你所在的國家，再改成另一個國家，各重新整理一次 Jira。看結果
通常選自己的國家時可用、選別的國家時被擋（若被擋，Ctrl／Cmd＋Shift＋R 強制重新整理再試）。地區與 IP 都算在每個 app 500 筆的上限裡。
T2（想像，不實際做）labjira 也有 Jira Service Management，allowlist 只填公司辦公室 IP。看結果
同一個 site URL 的 JSM customer portal 也受限，外部客戶會連不上 portal。設計 allowlist 前要先想 portal 的使用者在哪裡。
T3（想像，不實際做）真的對 labjira 的 Jira 送出搬到 EU 的申請。看結果
同一個 site URL 的 Jira 類 app 一起搬、一起離線，最多 24 小時；sandbox 不會跟著搬；只有在 MOVE SCHEDULED 時能取消。
心像錨點：閉上眼睛想一次這個畫面
左邊分頁是被擋的 Jira 說明訊息，右邊分頁的 admin.atlassian.com 照常打開。Admin 永遠進得來。
收尾
- 停用並刪除 lab-block（在 IP allowlists 清單中該列的選單操作，名稱以畫面為準）。確認 Jira 可正常使用。
- 結束 Jira Premium 試用、回到 Free：到 admin.atlassian.com/billing 的 Subscriptions 處理（官方：要留在 Free 可從這裡結束試用）。不要選 Deactivate，那會停用整個 Jira 訂閱。官方也說沒有付款資料、使用者 10 人以內時，試用結束會自動回到 Free。
資料來源（5）有疑慮時點開看官方原文
- Specify IP addresses for app access
Select Security, then Device security, then IP allowlists.
- Specify IP addresses for app access
You will be able to access admin.atlassian.com even if the IP is outside the range of the allowlist.
- Understand data residency
In the Actions column for that app, select More actions (…), then View app details.
- Move Atlassian app data to another location
In the data residency table, select View details for the Atlassian app that you want to move.
- Manage your bill for Standard and Premium plans
If you decide to remain on the Free plan, you can end your trial by going to Subscriptions from admin.atlassian.com/billing.
一分鐘腦內整理
讀完了？用這張收攏整節
IP 看來源、residency 看地點IP allowlist 管「從哪裡連」；data residency 管「資料放哪裡」。
Admin 永遠進得來admin.atlassian.com 不受 IP allowlist 限制。
只讓公司網路連得進來
- IP allowlist：Jira、JSM、Confluence 要 Premium。
- admin.atlassian.com 不受限；被擋的人也不能用 API。
IP allowlist 擋不到的地方
- Smart Links、通知、Recent history 擋不到。
- Rovo 要在 allowlist 另外選。
選擇 app 資料存放的地區
- Data residency 以 app 為單位；預設 Global（Not set）。
- 使用者帳號資訊不能 pin。
Set location：排程、停機、哪些一起搬
- 搬移可在 MOVE SCHEDULED 時取消，開始後不能。
- 同 site URL 的 Jira 類 app 一起搬；sandbox 不跟著搬。
本節練習
做題
題目載入中…
官方來源（本節依據）
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。