首頁 / 考前速讀
考前 30 分鐘

考前速讀

15 節的「3 分鐘速覽」、記憶口訣與本段必考集中在這一頁。考前讀這頁，不學新東西。

45 題・90 分鐘答對 33 題及格單選・3 選 1
本頁內容
考場提醒
  • 每題都是 3 選 1、只有一個正解：先刪掉明顯錯的那一個，再比較剩下兩個。
  • 先用題幹排除：題目已經排除的原因就不要再選。
  • 看清楚題目問的是哪一層：organization、site、app、space；以及哪一種角色（org admin、user access admin、app admin、space admin）。
  • 不會的先標記，最後回來看；90 分鐘足夠做兩輪。
520.1・25%

520.1 Atlassian 組織

520.1.1 Organization 的結構與建立

組織、站台、App，帳號自由行Organization → site → app；帳號不綁 app 也不綁 organization，claim 了才歸你管。
清空再刪、十五天後悔刪 organization 前要先清空訂閱、網域與 app；刪了 15 天內還能找 support。
  1. Organization 是什麼Organization 把公司的使用者與 app 集中在一個地方管理。Org admin 管員工的 Atlassian 帳號，也管屬於這個 organization 的 app。
  2. Organization、site、app 三層一個 organization 底下可以有多個 site；site 有自己的網址（名稱.atlassian.net），上面掛 Jira、Confluence 等 app。
  3. 帳號不綁 app、也不綁 organizationAtlassian 帳號可以用不同 organization 的 app；要等你驗證網域並 claim 帳號，它才變成你們的 managed account。
  4. 兩種建立方式從 atlassian.com 註冊 app 時，會同時建立 site 與 organization；也可以到 admin.atlassian.com/o/create 建立沒有 app 的 organization。
  5. 建立者就是 org admin建立 organization 的人自動成為 org admin。官方建議至少要有兩位 org admin，以免唯一的帳號遺失或被盜。
  6. 刪除要先清空刪除 organization 前要取消所有訂閱、移除網域與 app、等過保留期；刪除後 15 天內可以請 support 還原。
本節所有「本段必考」（10 條）
  • Organization → site → app；帳號不綁 app、也不綁 organization。
  • Users 在 Directory 底下＝centralized；在 site 底下＝original。
  • 註冊 app＝同時建立 site 與 organization；site 名稱＝子網域。
  • 沒有 app 的 organization：admin.atlassian.com/o/create。
  • 改 organization 名稱：Settings → Details；org ID 不變。
  • Directory 管人、Apps 管 app、Billing 管帳單。
  • 合併＝轉移所有 app，再刪掉不要的 organization；多 site 不能自己合併。
  • 要讓兩群人完全隔離 → 保持兩個 organization。
  • 刪 organization 前：取消訂閱 → 移除網域與 app → 等保留期。
  • 15 天內可請 support 還原，只回到刪除當下的空殼。

520.1.2 Subscriptions 與 billing

有存取就算錢沒接受邀請也算；suspend、remove、deactivate 不算。
付錢找 billing adminOrg／site admin 只能升降、停用、看預估。
降級等下期、停用再等 15 天都不退費；Free 立即停用。
  1. 計費的三個因素方案、計費週期，以及帳單週期結束時「有 app 存取的使用者人數」。
  2. 月繳按人、年繳按級距月繳是每位使用者計價；年繳用 user tier（人數級距）。加進 app 的人就開始計費，就算沒接受邀請或沒登入也一樣。
  3. Free 方案最多 10 位使用者（Jira Service Management 是 3 位 agent）；人數超過會自動轉成 Standard 試用。
  4. 不計費的情況存取被 suspend、使用者被 remove、managed account 被停用，都不再計費；user access admin group 本身也不佔授權。
  5. 換方案與停用Free 升級先試用（Standard 14 天、Premium 30 天）；降回 Free 從下個計費期生效、不退費；停用訂閱在目前訂閱期結束 15 天後生效。
  6. 誰能管帳單Improved billing 體驗下，billing admin 管付款、發票、帳單地址；org admin 與 site admin 只有有限權限：升降方案、停用訂閱、看帳單預估。
本節所有「本段必考」（10 條）
  • 帳單看「週期結束時有 app 存取的人數」。
  • Enterprise：年繳、org 層級、最多 150 個 instance、內含 Guard Standard。
  • 沒接受邀請也計費。
  • Suspend、remove、deactivate 都不計費；suspend 能完整還原。
  • Free 升級＝立刻生效＋試用；降回 Free＝下個計費期、不退費。
  • 停用＝訂閱期結束後 15 天；Free 立即停用。
  • 付款、發票、計費週期 → billing admin。
  • Org／site admin：只能升降方案、停用訂閱、看預估。
  • Guard Standard：按 organization、每人只算一次。
  • Enterprise 已含 Guard，不重複計費。

520.1.3 Admin 角色與委派

組織管人、站台管 app、存取管誰能用、App 管設定Org admin、site admin、user access admin、app admin 各管一層。
Jira 的 admin 只有 org admin 能給User access admin 不行。
Admin 不等於能用要用 app，另外給 User 角色。
  1. Org admin最高層級：管使用者、group、app 與安全。只有 org admin 能指派 org admin、site admin、user access admin。
  2. Site admin管理一個 site：在 site 加 app、管 Marketplace app。Centralized 體驗下不能邀請或修改使用者。
  3. User access admin管理某個 app 的使用者存取，但自己不會自動取得這個 app 的存取。
  4. App admin管理某個 app 的設定（Jira admin、Confluence admin），不能進 Atlassian Administration。Jira 的 app admin 只有 org admin 能指派。
  5. Project admin／Space admin只管一個 Jira space 或 Confluence space；由 app admin 那一層（或 space 本身的權限）指派。
  6. 用 group 授權授予 admin 角色會把人加進對應的 default group；反過來，把人加進 jira-admins-{site}、org-admins 等 group 也能授權。Site admin 例外。
本節所有「本段必考」（8 條）
  • 只有 org admin 能指派 org admin、site admin、user access admin。
  • Jira 的 app admin 只有 org admin 能指派。
  • Jira admin＝Administer Jira；Confluence admin＝Confluence administrator 全域權限。
  • Project／space admin 只管一個 space。
  • Grant access 對話框：App admin、User access admin；••• 選單：site admin、org admin。
  • site-admins group（centralized）＝org admin 角色。
  • 委派原則：給剛好夠用的最小角色。
  • Org admin 至少兩位；聯絡不到時請 support 轉移角色。
520.2・25%

520.2 App 與站台管理

520.2.1 多個 site 與 app

一網址一帳單Site 是網址單位，也是帳單單位；改 URL 是整個 site 一起改。
舊家按轉移、搬過去不合併Transfer apps 在要淘汰的 organization 執行；同類 app 轉移後仍是不同 instance。
落地只有 J 和 CLanding app 只能是 Jira 或 Confluence。
  1. Organization、site、appOrganization 集中管理使用者、安全與帳單。Site 是一個網址（xxx.atlassian.net），同一個 site 上的 app 共用這個網址，而且每個 site 有自己的帳單。
  2. 一個方案一個 instanceFree、Standard、Premium 方案各只給一個 app instance；Enterprise 方案可以在同一個方案下有最多 150 個 instance。
  3. 新增 appOrg admin 在 Apps → Atlassian apps → Add app 加入新 app。新 app 從 Standard 或 Premium 試用開始，沒有付款資料時，試用結束會改成 Free。
  4. 改 URLApps → App URLs → Update URL 只能改 atlassian.net 前面的 subdomain，整個 site 的 app 一起改。舊網址在瀏覽器會自動轉址，但 REST API 呼叫舊網址會失敗（401）。
  5. 轉移 app在要淘汰的 organization 選 Organization settings → Profile → Transfer apps。兩邊都要是 org admin，而且只適用 original user management；轉移不能復原。
  6. Landing app使用者打開 site 網址時先看到的 app，只能選 Jira 或 Confluence。最多兩小時生效；沒有該 app 存取的人會被提示申請存取。
本節所有「本段必考」（12 條）
  • Free／Standard／Premium：一個方案一個 instance；Enterprise：同一方案最多 150 個。
  • Site 是網址單位，也是帳單單位；instance 之間很難搬內容，要先規劃。
  • 新增 app：Apps → Atlassian apps → Add app。
  • 試用結束沒有付款資料就變 Free；JPD 只能加到既有 site。
  • 改 URL 是整個 site 一起改，不能只改一個 app。
  • 舊網址在瀏覽器會轉址，REST API 會回 401。
  • Custom domain：Jira／Confluence Premium 或 JSM Standard，而且要加 DNS 紀錄。
  • Transfer apps 在要淘汰的 organization 執行，兩邊都要是 org admin。
  • 轉移不能復原；同類 app 不會合併。
  • 來源 org admin 會變成目的 org 的 org admin 與所有 site 的 site admin。
  • Landing app 只能是 Jira 或 Confluence，每個 site 各設一個。
  • Centralized 只有 org admin 能設；original 介面 site admin 也能設。

520.2.2 Release tracks 與 sandboxes

連續、打包、預覽Continuous 立即收到；Bundled 每月第二個週二；Preview 只給 sandbox、早一個月。
Premium 一個、Enterprise 五個每個 app 免費 sandbox 的數量；Free 與 Standard 沒有。
28 天下線、30 天消失沒用 28 天變 Offline；Offline 超過 30 天永久刪除。
  1. 三種 release trackContinuous 是預設，變更一推出就收到；Bundled 把大部分變更集中在每月第二個週二推出；Preview 只給 sandbox，比 production 早一個月收到同一包。
  2. 方案與位置Release tracks 要 Jira、Jira Service Management、Jira Product Discovery 或 Confluence 的 Premium 或 Enterprise 方案；由 org admin 在 Apps → Release management → Release tracks 切換。
  3. Bundled 也擋不住的變更Bug fix、安全與效能更新、Opsgenie 支援的 JSM 功能，以及長期逐步推出的大型變更，即使在 bundled track 也會立即推出。
  4. Defer 與 freeze window兩者都要 Enterprise。Defer 讓單一變更延後至少 30 天；freeze window 最多 60 天前排定，在期間擋住可見變更，但 sandbox 不能放進去。
  5. Sandbox 數量與存取Premium 每個 app 有一個免費 sandbox，Enterprise 每個 app 最多五個。剛建好時只有 org admin 能進；sandbox 不在 SLA 範圍內。
  6. Sandbox 生命週期Online 的 sandbox 停用或 28 天沒用會變 Offline；Offline 30 天內可以還原，之後永久刪除。Production 不再是 Premium 或 Enterprise 時，sandbox 會被銷毀。
本節所有「本段必考」（12 條）
  • Preview 只給 sandbox；production 只能選 Continuous 或 Bundled。
  • Bundled 擋不住 bug fix 與安全、效能更新。
  • 切換位置：Apps → Release management → Release tracks → Change track。
  • 推薦組合：production Bundled＋sandbox Preview。
  • Defer 與 freeze window 都要 Enterprise。
  • Defer：公告後 10 天內、延後至少 30 天；freeze：最多 60 天前排、不含 sandbox。
  • Premium 一個、Enterprise 最多五個（每個 app）；Free 與 Standard 沒有。
  • 剛建好只有 org admin 能進；其他人要加進 sandbox 的 group。
  • 28 天沒用變 Offline；Offline 30 天內可 Restore，之後永久刪除。
  • Reset 只能對 Online 的 sandbox 做，而且不能復原。
  • Copy 每次都覆蓋 sandbox 的資料；Marketplace app 與 access settings 不會複製。
  • Deploy 只支援 company-managed project 的設定。

520.2.3 Rovo 的管理與治理

預設開、要關用 blockStandard 以上自動有 Rovo；在 Rovo access 封鎖不要的 app。
Jira 家族全關才算關共用的 Search、Chat、Create with Rovo，要該 site 所有 Jira app 都封鎖才會關。
Enterprise 關預設：app、group 都要 allowDefault access 開啟時則是任一個被 block 就不能用。
  1. Rovo 預設開啟Standard、Premium、Enterprise 方案的 app 都自動啟用 Rovo，organization 裡每個人都能用。Atlassian Government Cloud 沒有 Rovo。Sandbox 的說法有兩種：About AI 頁寫要手動啟用，Test drive 頁寫 2025 年 4 月 14 日之後建立的 sandbox site 會自動啟用。
  2. Rovo accessOrg admin 在 Rovo → Rovo access 封鎖（block）某個 app。被封鎖的 app，現在與之後的 AI 功能都關閉，包含 Agents 與 Chat；之前產生的內容保留。
  3. Jira 家族要全部封鎖同一個 site 上封鎖一個 Jira 家族 app，只關那個 app。Rovo Search、Chat、Create with Rovo 要等該 site 所有 Jira app 都封鎖才會關。
  4. Enterprise 的 allowlist新介面可以用 app 與 group 一起控制。Default access 關閉時，app 與 group 都要加進 allowlist；開啟時，app 或 group 任一個被 block 就不能用。
  5. Rovo settings 與 agentsWeb search、Beta features、Search bookmarks 是 organization 層級設定；Rovo → Agents 的 Default access 決定之後新建的 agent 能碰哪些 app 與 group。
  6. 看用量Rovo → Rovo trends 看 adoption 與 agents 的趨勢，每 48 到 72 小時更新，可匯出 CSV；Rovo credit 的實際用量要看 Insights → Platform usage。
本節所有「本段必考」（11 條）
  • Standard 以上自動有 Rovo，每個人都能用；Government Cloud 沒有。
  • Rovo 遵守 app 權限；site 上任一 app 開 AI，Rovo 就能用同 site 所有 app 的資料。
  • Rovo → Rovo access → Add app → Block access。
  • 封鎖不會刪除已產生的內容；Jira 家族要全部封鎖，共用功能才會關。
  • Default access 關閉：app 與 group 都要 allow。
  • Default access 開啟：app 或 group 任一個被 block 就不能用。
  • Atlassian-hosted LLMs：Enterprise、org 層級、要申請。
  • Web search、Beta features、Search bookmarks 都在 Rovo settings。
  • Bookmark 不檢查權限；Studio app admin 可以繞過 agent 建立限制。
  • Rovo trends：48 到 72 小時更新、可匯出 CSV；credit 看 Platform usage。
  • Sandbox 的 Rovo 在 site 那一列啟用，不是 app 那一列。
520.3・34%

520.3 使用者管理與存取控制

520.3.1 使用者如何取得存取

網域自助、邀請互拉、連結快閃Approved domains、User invites、Invitation links。
Required 勾了才要核准
Directory 有 Users＝centralized
  1. 三種入口Admin 手動邀請、從 identity provider（IdP）或 Google Workspace 同步、設定 app access settings 讓人自己加入或互相邀請。
  2. Approved domains信任的 email 網域不用邀請就能加入；勾 Required 要 admin 核准，不勾就是即時加入。
  3. Any domain沒被核准的私有網域都套這一列；預設允許公開與私有網域的人申請存取。
  4. User invites每個 app 四選一：Invite anyone、Invite approved domains、Require admin approval、Don't allow invites；org admin 永遠能邀請。
  5. Invitation links每個 app 一條連結，拿到的人都能加入；30 天自動失效，可隨時關閉或重新產生。
  6. 兩種介面Centralized：Users 在 Directory 底下、一個 organization 一份使用者；Original：Users 在 Apps 底下的某個 site。
本節所有「本段必考」（9 條）
  • App 存取＝app 角色＝default group；三種入口最後都走到這裡。
  • 邀請不等於擁有帳號；managed account 要驗證網域並 claim。
  • Approved domain：不用邀請；Required 勾＝要核准、不勾＝即時加入。
  • 沒核准的私有網域套 Any domain 那一列。
  • Require admin approval 會產生 access request；Don't allow invites 連申請都不行。
  • Org admin 永遠可以邀請。
  • Invitation link：任何拿到的人都能加入；30 天失效、可關可重產。
  • Users 在 Directory＝centralized；在 site 底下＝original。
  • 每個 organization 一份使用者；同 org 的 site 共用。

520.3.2 Access requests

沒權限就申請、驗證才能申、拒絕不再申申請的三個條件與限制。
核准就進 default group、就計費
  1. 何時出現使用者打開沒有權限的 app（例如同事分享的連結），系統提示他申請存取。
  2. 誰能申請什麼已有某個 app 的人：替自己申請新的 app、或替別人申請自己已有的 app；新使用者：只能替自己申請。
  3. 申請條件要有 Atlassian account 與已驗證的 email；admin 不核准就進不來。
  4. 在哪裡審Centralized：Apps›User requests›Access requests，彙整所有 site；original：Apps → 選 site → Access requests。也可以從 email 審。
  5. 誰能審Org admin；site admin 只能審自己管的 site。User access admin 不能審。
  6. 拒絕被拒絕的人不能再申請；拒絕時可以附一段說明。
本節所有「本段必考」（6 條）
  • 已有 app 的人可替別人申請「同一個 app」。
  • Require admin approval、Required 勾選都會讓請求進入 Access requests。
  • Org admin 與 site admin（限自己的 site）能審；user access admin 不在名單上。
  • Centralized 的清單彙整所有 site。
  • 核准→進 default group→開始計費。
  • 被拒絕的人不能再申請。

520.3.3 管理使用者

收 app、暫停、移除、停用、刪除由輕到重；後兩個只對 managed。
Suspend 會回來、remove 要重來
代登只有 org admin（centralized）
  1. Grant access在使用者（或 group）頁按 Grant access、選 app 角色；系統把他放進該角色的 default group。
  2. Remove access從使用者的 Apps 分頁移除某 app：把他從所有給這個 app 的 group 拿掉；人仍在 organization。Org admin 要先拿掉 admin 角色。
  3. Suspend／Restore暫停存取、不計費；Restore 後角色與 group 原樣回來。
  4. Remove user移出 organization（original：移出 site）、不計費；要重新邀請並重設角色與 group。不影響他在其他 organization。
  5. Log in as userOrg admin 用來檢查權限；不能登入成另一個 org admin、還沒用過 app 的人、portal-only customer；會 email 通知本人。
  6. Managed account只有 managed account 能改資料、重設密碼、deactivate、delete；external user 只能 suspend 或 remove。
本節所有「本段必考」（10 條）
  • Grant access＝放進 default group。
  • Remove access＝從所有給該 app 的 group 移除。
  • Suspend 會回來；remove 要重來。
  • Deactivate／delete 只對 managed account。
  • Centralized 只有 org admin 能 Log in as user。
  • 還沒用過 app 的人不能被登入。
  • 只有 managed account 能改資料、重設密碼、deactivate、delete。
  • Users 頁管存取；Managed accounts 頁管帳號。
  • Centralized 的 site admin 不能邀請或修改使用者。
  • User access admin 只管自己那個 app 的存取。

520.3.4 Groups

一角至少一預設、一組只當一預設Default group 兩條數量規則。
Org admin 的組不當預設、SCIM 的組不當預設
名單在 Admin、權限在 app
  1. 兩種用途在 Atlassian Administration 用 group 給 app 角色；在 Jira、Confluence 裡用 group 設 app 內權限。
  2. Default group每個 app 角色的主要 group；給人 app 存取時自動放進來。加 app 時每個角色會建一個，例如 confluence-users-{site}。
  3. Default group 規則每個角色至少要有一個；一個 group 同時只能當一個角色的 default；給 org admin 角色的 group 不能當 default；SCIM 同步的 group 不能當 default。
  4. 誰能設定 default groupDefault group 頁與排查頁都寫只有 org admin，user access admin 不行；但 original 介面的角色比較表把 site admin 列為可設定自己 site 的 default group，兩處說法不一。
  5. 建立與編輯Directory → Groups：Create group、Grant access、Add users、改名（beta）。Centralized 下 user access admin 只能管只給自己 app 的 group。
  6. site-admins／org-adminsOrganization 層的 admin group；centralized 下舊站的 site-admins group 其實連到 org admin 角色。
本節所有「本段必考」（10 條）
  • Group 成員在 Admin 管、app 內權限在 app 設。
  • Confluence global permission 只能給 group。
  • Default group＝角色的入口；每角色至少一個。
  • Org admin 的 group 不能當 default。
  • 改 default 不影響現有成員與存取。
  • Centralized：Update default group setting；original：Make this group default。
  • Group 名稱在 organization 內不能重複。
  • 改名會影響 Jira 設定與 automation。
  • Centralized 下 site-admins group＝org admin 角色。
  • Site admin 角色（centralized）不能用 group 指派。

520.3.5 變更的影響與排查

刪組不刪人、先清權限再刪組刪 group 的兩條規則。
移出組、移除 app：只靠它的人才受影響
帳號層級才跨 orgDeactivate、delete。
  1. 刪 group成員不會被刪；這個 group 給的 app 角色與 app 內權限一起失效。先移除權限再刪，否則日後建同名 group 權限會自動回來。Default group 不能刪。
  2. 從 group 移除 app成員若還在其他給同一 app 的 group，存取不變。
  3. 改 group 名稱被 Jira 設定（例如 filter 的 JQL）使用時不能改；改了 automation 用到的名稱，rule 會停。
  4. Suspend、remove、deactivate都會停止計費。Suspend 保留角色與 group，deactivate 不刪個人資料；remove 對內容的影響官方說法不一（見下表）。
  5. Delete managed account14 天後永久刪除，名字變成 Former user；建立的內容不刪。用 IdP 同步的要先從 IdP 移除。
  6. 排查順序使用者狀態 → app 角色（哪些 group 給的）→ app 內權限 → 是否 SCIM 唯讀 group → Log in as user 重現。
本節所有「本段必考」（10 條）
  • 刪 group／移出 group：只靠這個 group 的存取才會消失。
  • Deactivate、delete 是帳號層級，影響所有 organization。
  • Group 被 Jira filter 或設定引用時不能改名。
  • 用 inactiveUsers() 找停用者名下的 work item。
  • Confluence 存取全靠 group：要擋一個人，就把他移出所有給 Confluence 的 group。
  • 唯一 space admin 離職 → Recover Permissions。
  • 先看狀態與角色，再看 app 內權限，最後看同步來源。
  • SCIM group 唯讀：在 IdP 改。
  • Remove／suspend：只影響這個 organization（original：這個 site）。
  • Deactivate／delete：帳號層級、所有 organization。
520.4・16%

520.4 Atlassian Guard 與進階管理

520.4.1 Managed accounts 與網域驗證

先驗網域、再 claim 帳號兩步都做完才是 managed account。
停用可回來、刪除等 14 天Deactivate 隨時 reactivate；delete 14 天內可取消。
  1. Managed account 的條件要先驗證 email 網域、再 claim 帳號，兩步都做完才是 managed account。同網域但還沒 claim 的帳號，仍是 external user。
  2. 三種驗證方法HTTPS（把 HTML 檔放到網站根目錄）、DNS TXT record，或連接 Google Workspace／Microsoft Entra ID 讓網域自動驗證。gmail.com 這類公用網域不能驗證。
  3. Claim 全部或部分Claim 全部會連之後新建的帳號一起自動 claim，適合 SAML Just-in-time；部分 claim 要上傳 CSV（每檔最多 10,000 筆、5MB）。
  4. Unclaim 不影響存取Unclaim 後帳號不再是 managed，也離開 authentication policy，但使用者保有原本的 app 存取。移除網域同樣讓帳號不再是 managed；官方沒提到會收回存取（推論為不影響）。
  5. 能對 managed account 做的事改資料與 email、reset password、reset two-step verification、強制登出、撤銷 API token。從 IdP 同步來的帳號只能在 IdP 改。
  6. Deactivate 與 deleteDeactivate 可隨時 reactivate；delete 有 14 天可取消，之後永久刪除、名稱改成 Former user。兩者都只能用在 managed account。
本節所有「本段必考」（8 條）
  • 驗證方法：HTTPS、DNS TXT（或 Google Workspace／Entra ID 自動驗證）。
  • 子網域要各自驗證；token 被刪掉，網域會失去驗證狀態。
  • Claim 全部＝新帳號也自動 claim（配合 SAML JIT）；部分＝CSV。
  • Unclaim 不影響 app 存取（remove domain 推論相同）。
  • IdP 同步的帳號只能在 IdP 改。
  • 改 email：新網域要先驗證。
  • 只有 managed account 能 deactivate／delete。
  • Delete 有 14 天緩衝；external user 只能 suspend／remove。

520.4.2 Atlassian Guard

登、配、令、外、影SSO（登入）、provisioning（配發）、API token（令牌）、external user、shadow IT：Guard Standard 的五件事。
偵測分類找 PremiumThreat detection、sensitive data、data classification 是 Guard Premium。
  1. Guard 是什麼Atlassian Guard（舊名 Atlassian Access）是替整個 organization 買的訂閱，提供使用者管理、身分驗證、資料保護與威脅偵測。
  2. Standard 與 PremiumGuard Standard 有 SAML SSO、user provisioning、user API token 管理、多個 authentication policy、external user 安全政策；Guard Premium 是加購，再加資料分類、敏感資料偵測、威脅偵測、延伸 audit log。
  3. 計費Guard Standard 依 organization 計費，每個有 app 存取的 managed account 或 external user 只算一次；Enterprise 方案已含 Guard Standard，不重複收費。
  4. Authentication policies依使用者分組設定 SSO、2SV、密碼、session、API token；每人同時只屬於一個 policy，最多 20 個 policy，成員來自 managed accounts。
  5. SSO 與 provisioningSAML SSO 只適用已驗證網域的帳號；user provisioning 用 SCIM 2.0，從 IdP 建立、更新、停用帳號並同步 group。
  6. API token 與 shadow ITInsights → API token activity 可看、可撤銷 managed account 的 API token；shadow IT 是使用者自己開的 app，Guard 會發 email 通知。
本節所有「本段必考」（10 條）
  • Standard：SSO、SCIM、API token、多 policy；Premium：偵測、分類。
  • 每人只算一次；Enterprise 已含 Guard Standard。
  • Default policy 自動收新的 managed account；建第二個 policy 要 Guard Standard。
  • 啟用 SSO 後，2SV 與密碼規則改在 IdP 設定。
  • SAML SSO 只適用已驗證網域的帳號。
  • SCIM 同步的 group 是唯讀，只能在 IdP 改。
  • Insights → API token activity：看、撤銷 managed account 的 token，撤銷不可復原。
  • External user policy：SSO、one-time passcode 或 None，套用全部 external user。
  • Shadow IT＝使用者自己註冊的 app，不在 Apps 頁。
  • Insights → Analytics 看驗證方式、網域分布、使用率。

520.4.3 IP allowlist 與 data residency

IP 看來源、residency 看地點IP allowlist 管「從哪裡連」；data residency 管「資料放哪裡」。
Admin 永遠進得來admin.atlassian.com 不受 IP allowlist 限制。
  1. IP allowlist 的方案Jira、Jira Service Management、Confluence、Compass 要 Premium；Atlassian Analytics 與 Focus 要 Enterprise。
  2. IP allowlist 擋什麼不在清單的 IP 或地區，看不到 Jira、JSM、Confluence 的內容，也不能用 API 存取；admin.atlassian.com 不受影響。
  3. 設定位置與上限Security → Device security → IP allowlists；每個 app 最多 500 個 IP、CIDR 網段或地區，支援 IPv4 與 IPv6。
  4. 例外home.atlassian.com 的最近瀏覽、通知內容、Smart Links 擋不到；Connect app、Forge app、OAuth 2.0（3LO）、2LO application link 也不受限。Rovo 要另外設。
  5. Data residency決定 Jira、JSM、JPD、Confluence、Loom 的 in-scope 資料存放在哪個地區；以 app 為單位，不能只設某個 project 或使用者。
  6. 搬移資料Data management → Data residency → Set location；最多停機 24 小時，同一個 site URL 的 Jira 類 app 一起搬，sandbox 不跟著搬。
本節所有「本段必考」（8 條）
  • IP allowlist：Jira、JSM、Confluence 要 Premium。
  • admin.atlassian.com 不受限；被擋的人也不能用 API。
  • Smart Links、通知、Recent history 擋不到。
  • Rovo 要在 allowlist 另外選。
  • Data residency 以 app 為單位；預設 Global（Not set）。
  • 使用者帳號資訊不能 pin。
  • 搬移可在 MOVE SCHEDULED 時取消，開始後不能。
  • 同 site URL 的 Jira 類 app 一起搬；sandbox 不跟著搬。

520.4.4 Admin APIs、application tunnels 與 custom email

Key 只看一次、一年到期、十分鐘失效Admin API key 的三個數字（一年是有 scope 的 key 的上限）。
連入走隧道、連出直接走Application tunnel 的方向。
Org admin 加地址、app admin 挑地址Custom email 的分工。
  1. Admin API keyOrganization settings → API keys 建立；用來呼叫 organization、user management、provisioning 等 admin API。值只顯示一次；有 scope 的 key 最長一年。
  2. With scopes 與 without scopes有 scope 的 key 只能做指定的動作，比較安全；沒有 scope 的 key 能呼叫所有 admin API。撤銷是永久的，最多 10 分鐘失效。
  3. Admin API key 與 user API token 不同Admin API key 由 org admin 在 Atlassian Administration 建立，用來管 organization；user API token 由使用者自己建立，用來呼叫 Jira、Confluence 的 API。
  4. Application tunnels在 cloud organization 與你網路裡的 Data Center 之間建安全通道，不必開放連入的防火牆或 IP；只有連入方向走 tunnel。
  5. Tunnel 的限制一個 Data Center instance 只能接一個 tunnel（一個 organization）；一個 organization 最多 100 個 tunnel；tunneled application link 只能從 cloud 端建立。
  6. Custom emailOrganization settings → Emails：加 email 網域、把 DKIM、bounce、TXT 等 DNS record 加到網域商，Active 後加寄件地址（每個 site 最多 30 個），app admin 再挑來用。
本節所有「本段必考」（6 條）
  • Admin API key：Organization settings → API keys；只顯示一次，有 scope 的 key 最長一年。
  • Revoke 永久、最多 10 分鐘生效；admin 離職要撤銷他的 key。
  • 只有連入你網路的流量走 tunnel；連出直連 cloud。
  • 一個 DC instance 只接一個 organization 的 tunnel；最多 100 個 tunnel。
  • Custom email：org admin 加網域與地址，app admin 只能挑。
  • 移除或停用地址，通知改回 app 預設地址。

本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。