考前必讀
易錯與易混
從 15 節自動彙整的 91 條易錯觀念：紅色 ✗ 是考題愛用的錯誤說法，綠色 ✓ 是正確說法。考前依 domain 掃一遍。
本頁內容
易錯觀念
錯誤說法 ✗ → 正確說法 ✓
520.1.1 Organization 的結構與建立5 條
使用公司 email 註冊的帳號，自動屬於公司的 organization。
要先驗證網域並 claim 帳號，才是 managed account。
帳號本身不綁 organization；沒被 claim 的帳號對你們來說是 external user。
一定要先有 Jira 或 Confluence 才能建立 organization。
可以到 admin.atlassian.com/o/create 建立沒有 app 的 organization。
常見於只想用 Atlassian Guard 管帳號、或只用 Trello、Bitbucket 的公司。
改 organization 名稱會換一個新的 org ID。
改名不會改變 org ID。
Org ID 是 organization 的識別碼，Admin API 等都靠它，名稱只是顯示用。
有多個 site 的 organization 一定可以自己合併到另一個 organization。
官方頁的主規則是：來源或目的地有多個 site 時不能自己合併，要聯絡 support。
Enterprise 方案的 organization 也視為多個 site。同一頁另寫 original user management 可以自己轉移，作答以主規則為準。
Organization 刪除後就永遠拿不回來。
15 天內可以請 support 還原，但只回到刪除當下的狀態。
刪除前移除的網域與 app 不會跟著回來。
520.1.2 Subscriptions 與 billing6 條
使用者沒接受邀請，就不會計費。
被加進 app 就開始計費，沒接受邀請或沒登入也一樣。
計費看的是「有沒有 app 存取」，不是有沒有用。
Improved billing 體驗下，org admin 可以更新付款方式、下載發票。
這些是 billing admin 的工作；org admin 只有有限的帳單權限。
Org admin 與 site admin 能升降方案、停用訂閱、看帳單預估。Original billing 體驗的權限表不同，org admin 可以處理發票與付款方式。
從 Standard 降回 Free 會立刻生效並退還剩餘天數。
下個計費期才生效，不退費。
從 Premium 降回 Free 還會移除 sandbox。
停用訂閱後馬上就不能用了。
付費訂閱在目前訂閱期結束後 15 天才停用；Free 方案才是立即停用。
停用前還可以 Undo deactivation。
同一個人用 Jira 和 Confluence，Guard Standard 要算兩次。
Guard Standard 每人只算一次。
Guard Standard 按 organization 計費，不按 app 計費。
Enterprise 方案的帳單可以在 site 的帳單裡找到。
Enterprise 在 organization 層級計費，不在 site 帳單裡。
Standard、Premium 才是每個 site 各自的帳單。
520.1.3 Admin 角色與委派6 條
User access admin 可以指派 Jira 的 app admin。
Jira 家族的 app admin 只有 org admin 能指派。
User access admin 只能為自己管理的其他 app 指派 app admin。
Site admin 可以邀請使用者到自己的 site（centralized）。
Centralized 體驗下 site admin 不能邀請或修改使用者；要再加 user access admin 角色。
Original 體驗的 site admin 才能管理自己 site 的使用者。
成為 user access admin 就能使用那個 app。
User access admin 不會自動取得 app 存取，也不因此計費。
要用 app，得另外給 User 角色。
App admin 可以到 Atlassian Administration 管理使用者。
App admin 不能進 Atlassian Administration。
App admin 只管 app 內的設定，例如 Jira 的 workflow。
把人加進 site-admins group 就是給他 site admin 角色（centralized）。
這個 group 給的是 org admin 角色；site admin 不能用 group 授予。
依建立時間，給 org admin 的 group 叫 org-admins 或 site-admins。
有 Confluence administrator 全域權限，就能管理每個 space 的權限。
不一定；要用 Recover Permissions 取得該 space 的 admin。
全域權限與 space 權限是兩層。
520.2.1 多個 site 與 app6 條
改 app URL 時，可以只改 Confluence，讓 Jira 維持原網址。
URL 是以 site 為單位改的，同一個 site 上的所有 app 一起換成新網址。
改完 URL 後，REST API 整合會自動轉到新網址。
瀏覽器的連結會轉址，但 REST API 呼叫舊網址會回 401，整合要改用新網址。
Landing app 可以設成 Jira Service Management。
Landing app 只能選 Jira 或 Confluence。
把 app 轉移到另一個 organization 後，同類的 app 會合併成一個 instance。
轉移的 app 保持獨立；兩邊都有 Jira 時，轉移後會有兩個 Jira instance。
Premium 方案可以在同一個方案下開多個 Jira instance。
Free、Standard、Premium 每個方案只有一個 instance；同一個方案要多個 instance，要用 Enterprise（最多 150 個）。
Centralized user management 的 organization 也能在 Admin 自己按 Transfer apps。
Centralized user management 不能自助轉移 app，要聯絡 Atlassian support。
520.2.2 Release tracks 與 sandboxes7 條
Production 的 app 可以設成 Preview track，提早一個月拿到新功能。
Preview track 只給 sandbox；production 的 app 只能選 Continuous 或 Bundled。
切到 Bundled track 後，所有變更（包含 bug fix）都改成每月推出一次。
Bug fix、安全與效能更新、Opsgenie 支援的 JSM 功能與長期大型變更，仍會立即推出。
Freeze window 期間，sandbox 也不會收到變更。
Sandbox 不能放進 freeze window，變更會依 sandbox 的 release track 照常推出。
Standard 方案的 Jira 也附一個免費 sandbox。
Sandbox 要 Premium（每個 app 一個）或 Enterprise（每個 app 最多五個）；Standard 只能用 Premium 試用暫時體驗。
建好 sandbox 後，production 的使用者都能直接登入測試。
一開始只有 org admin 能進，其他人要加進 sandbox 的 group。
Offline 的 sandbox 會一直保留，隨時可以還原。
只有 30 天內能 Restore；超過 30 天就永久刪除。
從 sandbox 部署設定時，team-managed project 的設定也會一起部署。
部署只支援 company-managed project 的設定。
520.2.3 Rovo 的管理與治理7 條
Rovo 要 org admin 先在每個 app 手動啟用才能用。
Standard、Premium、Enterprise 的 app 預設就自動啟用；admin 要做的是封鎖不要的 app。官方只對 sandbox 寫到手動啟用（2025 年 4 月 14 日之後建立的 sandbox site 會自動啟用）。
封鎖 Jira 的 Rovo 後，同一個 site 的 Rovo Search 與 Chat 也一起關掉。
只要同一個 site 還有其他 Jira 家族 app 啟用 Rovo，Search、Chat、Create with Rovo 都還在。
封鎖一個 app 的 Rovo，會刪除 Rovo 之前產生的內容。
之前產生的內容會保留。
Enterprise 關閉 default access 後，只要把 app 加進 allowlist，使用者就能用。
App 與使用者的 group 都要在 allowlist 裡。
Rovo 能讓使用者摘要他原本沒有權限看的內容。
Rovo 遵守 app 的權限，使用者不能用自己沒有存取權的資源產生內容。
Search bookmark 只會顯示給能打開目的連結的人。
Rovo 不檢查目的連結的權限，bookmark 會顯示給所有搜尋該字詞的人。
Bitbucket Cloud 的 AI 在 Rovo access 頁開關。
要在 Bitbucket workspace 的 Workspace settings → AI 開關。
520.3.1 使用者如何取得存取6 條
Approved domain 的使用者一定要等 admin 核准。
只有勾 Required 才要核准；不勾就是即時加入。
選了 Don't allow invites，連 org admin 都不能邀請。
Org admin（centralized 下還有 user access admin）仍然可以邀請。
Require admin approval 時，使用者什麼都不能做。
他們不能直接邀請，但可以替自己或替別人送出存取申請。
Invitation link 永久有效，只能刪 app 才能作廢。
30 天自動失效；也可以關掉 toggle 或重新產生。
邀請進 organization 的帳號就是 managed account。
邀請不代表擁有帳號；要驗證網域並 claim。
從 approved domain 自助加入的人不計費。
透過 app access settings 加入的人就是計費使用者。
520.3.2 Access requests5 條
被拒絕的使用者過幾天可以再申請一次。
被拒絕後就不能再申請；要給他存取得由 admin 主動邀請。
沒有 Atlassian account 的人也能送出申請。
要有 Atlassian account 與已驗證的 email。
User access admin 可以核准 access request。
官方列的是 org admin 與 site admin（只限自己的 site）。
已有 Jira 的人可以替同事申請任何 app。
只能替別人申請自己已經有的那個 app。
Centralized 下 site admin 核准的人，site admin 也能再移除。
Site admin 不能修改使用者；核准後要由 org admin 或 user access admin 移除。
520.3.3 管理使用者6 條
把人從 default group 移除，他一定就不能用這個 app。
其他 group 也可能給同一個 app；要從所有給該 app 的 group 移除（Remove access 會一次做完）。
Remove user 之後 restore，group 會回來。
Remove 要重新邀請並重設角色與 group；能原樣回來的是 suspend → restore。
從我們 organization 移除某人，他在其他 organization 也不能用了。
Remove user 不影響其他 organization，也不刪除他的帳號。
Site admin 在 centralized 介面也能 Log in as user。
Centralized 只有 org admin 能用；original 的 site admin 可以（但不能登入成同級或更高的人）。
可以 deactivate 任何離職者的帳號。
只能 deactivate、delete managed account；external user 只能 suspend 或 remove。
要收回 org admin 的 Jira 存取，直接 Remove access 即可。
要先拿掉他的 org admin 角色。
520.3.4 Groups6 條
可以把所有角色的 default group 都拿掉。
每個角色至少要有一個 default group。
讓 org-admins group 當 Jira User 的 default group，比較好管。
給 org admin 角色的 group 不能當任何角色的 default。
拿掉 default 標籤會讓成員失去存取。
只影響之後的自動放置；成員與存取不變。
User access admin 可以設定 default group。
只有 org admin 能設定 default group。
Okta 同步進來的 group 可以設成 default group。
SCIM 同步的 group 是唯讀的，不能當 default。
Confluence global permission 可以直接給一個人。
只能給 group。
520.3.5 變更的影響與排查6 條
刪除 group 會一併刪除成員。
成員還在 organization；只有透過這個 group 拿到的存取與權限失效。
刪 group 後再建同名 group，就是全新的乾淨 group。
沒先移除的權限會自動套回同名的新 group；所以要先移除權限再刪。
把 group 從 app 移除，裡面每個人都會失去這個 app。
還在其他給同一 app 的 group 的人不受影響。
Delete managed account 會刪掉他建立的 Jira work item 與 Confluence page。
內容保留，作者顯示為 Former user；刪的是個人資料。
Deactivate 是 Jira 事件，可以用 Jira automation 的觸發器直接接。
Deactivate 是 user management 的事件；用排程 rule 搭配 inactiveUsers() 找出受影響的 work item。
Confluence 可以單獨把一個人從 Confluence 移除，不動 group。
Confluence 存取來自 group；要把他移出所有給 Confluence 的 group。
520.4.1 Managed accounts 與網域驗證6 條
用公司網域註冊的帳號就是 managed account。
還要驗證網域並 claim 帳號；沒 claim 的仍是 external user。
官方 Acme 範例中，Jane 用 acme.com 但沒被 claim，所以是 external user。
驗證 acme.com 之後，子網域 eu.acme.com 也一起驗證了。
子網域不會自動驗證，要一個一個驗證。
每個子網域都要重做一次驗證流程。
Unclaim 帳號會一併拿掉他的 app 存取。
Unclaim 只是不再管理帳號、移出 authentication policy；app 存取不變。
要收回存取，另外移除 app 角色或 suspend。
External user 離職，可以直接 deactivate 他的帳號。
Deactivate 與 delete 只能用在 managed account；external user 只能 suspend 或 remove。
帳號不屬於你的 organization，你就不能關閉它。
刪除 managed account 後立刻永久消失。
會先停用 14 天，期間可以取消；14 天後才永久刪除。
這 14 天是法遵要求，不能加速。
從 IdP 同步來的帳號，也能在 Atlassian Administration 改名字。
IdP 同步的帳號只能在 IdP 改。
連接 IdP 後，使用者屬性由 IdP 負責。
520.4.2 Atlassian Guard7 條
Guard Premium 可以單獨訂閱，取代 Guard Standard。
Guard Premium 是 Guard Standard 的加購。
Premium 包含 Standard 的全部功能，再加偵測與分類。
用 Jira 與 Confluence 的人，Guard Standard 要算兩次。
每個計費使用者只算一次，不論用幾個 app。
Guard Standard 依 organization 計費。
SAML SSO 可以套用到外包人員的 gmail.com 帳號。
SAML SSO 只適用已驗證網域的帳號；external user 用 external user policy。
網域不是你的，就不能用 SAML SSO 管它。
同一個使用者可以同時屬於兩個 authentication policy。
一個成員同時只能在一個 policy。
移到另一個 policy 時，會在下次登入套用。
啟用 SSO 後，仍可在 authentication policy 強制 2SV。
啟用 SSO 後，2SV 要在 IdP 設定。
SAML 登入時會略過 Atlassian 的密碼政策與 2SV。
撤銷的 user API token 之後可以還原。
撤銷會永久刪除 token，無法復原。
使用者要重新建立新的 token。
Shadow IT app 會出現在 Atlassian Administration 的 Apps 頁。
它們不在你的 organization 底下，要看 Shadow IT apps 畫面。
Apps 頁只有你 organization 的 app。
520.4.3 IP allowlist 與 data residency6 條
IP allowlist 在 Jira Standard 就能用。
Jira、JSM、Confluence 的 IP allowlist 要 Premium。
Atlassian Analytics 與 Focus 甚至要 Enterprise。
IP 設錯了，admin 也會被鎖在 admin.atlassian.com 外面。
admin.atlassian.com 不受 IP allowlist 限制。
所以 admin 永遠能回來修正 allowlist。
設了 Jira 與 Confluence 的 allowlist，Rovo 也一併受限。
Rovo 要在 allowlist 另外選；否則可能帶出受限內容的標題或摘要。
Rovo 的控制在 organization 層級，套到所有 site。
Data residency 可以只針對某個 project 設定。
以 app 為單位，不能只設 project、客戶或使用者。
要分開存放，就要放在不同的 app 執行個體。
Pin 到 EU 之後，使用者的姓名與 email 也存在 EU。
使用者帳號資訊不在 data residency 範圍。
它存在全球複寫的身分服務。
Data residency 搬移開始後還能取消。
只有 MOVE SCHEDULED 時能取消；MOVE IN PROGRESS 就不能。
搬移開始時 app 會離線。
520.4.4 Admin APIs、application tunnels 與 custom email6 條
Admin API key 忘了可以在 Atlassian Administration 再看一次。
Key 只在建立時顯示一次，Atlassian 不保存它的值。
遺失就撤銷再建一把新的。
API key without scopes 比較安全，因為設定簡單。
Without scopes 能呼叫所有 admin API，官方提醒有安全風險；with scopes 才是安全的選擇。
Scope 限制 key 能做的動作。
撤銷 admin API key 後立刻失效。
最多 10 分鐘後才停止運作；撤銷是永久的。
排程中的 script 可能在這幾分鐘內仍成功。
使用 application tunnel 時，Data Center 要開放連入的防火牆規則。
不用開放任何連入；只要允許連出 port 443。
Tunnel 正是為了避免暴露內部網路。
Tunneled application link 可以從 Data Center 端建立。
只能從 cloud app 建立；Data Center 端的 reciprocal link 自動建立。
Reciprocal link 是連出，不走 tunnel。
設定 custom email 的網域，就是 Directory → Domains 的網域驗證。
兩者不同：custom email 在 Organization settings → Emails，用多筆 DNS record。
網域驗證是為了 claim 帳號。
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。