Jira 시작하기 목록으로
Jira 시작하기

AI 도구를 Jira와 Confluence에 연결하기 전에 정할 권한: Atlassian MCP 확대와 OpenAI 협력 발표

발표 내용 기준: Atlassian의 발표 글과 공식 도움말만 읽고 썼습니다. 직접 연결해 본 기능이 아니라서 「쓰면 좋다」 같은 판단은 하지 않고, 연결 전에 정할 것까지만 다룹니다. OpenAI 쪽 발표 본문은 열어 보지 못해 Atlassian 쪽 글로만 확인했습니다.

요지

  • Atlassian은 10월 6일 외부 AI 도구가 Jira, Confluence 등에 접속하는 통로(Atlassian MCP 서버)를 넓혔다고 발표했다. 같은 날 OpenAI와의 협력도 발표해, ChatGPT와 Codex를 이 통로로 연결할 수 있다고 밝혔다.
  • 이 통로로 AI는 읽기만 하는 것이 아니라 쓸 수도 있다. 이슈를 만들고 고치는 도구가 있고, Jira에는 삭제 도구도 있다(삭제는 관리자가 켜야 쓸 수 있다).
  • 그래서 「연결해도 되나」보다 먼저 정할 것이 있다. 누가, 어떤 도구를, 어떤 범위(읽기, 쓰기, 삭제)로 연결하고, 기록은 누가 보는가.

발표된 것: 지금 되는 것과 아직 아닌 것

표는 가로로 밀어서 볼 수 있습니다.

구분 내용 상태(발표 기준)
MCP 서버 220개 넘는 도구, OAuth 2.1 인증 기본 정식 제공(GA)
새로 연결되는 제품 Confluence(페이지, 데이터베이스, 화이트보드), Bitbucket Cloud, Loom, Goals 등 지금
Jira Service Management 연결 서비스 데스크 쪽 연결 곧(coming soon)
OpenAI 협력 ChatGPT, Codex를 Atlassian MCP로 연결 지금
OpenAI 협력 에이전트가 작업 항목을 집어 가고, 시험을 돌리고, 작업 기록을 보드로 되돌리는 깊은 연동 설계 중(아직 아님)
토큰 사용 같은 작업에서 이전 판보다 최대 25% 적게 쓴다 Atlassian 자체 발표 수치

「설계 중」인 것을 지금 되는 것처럼 계획에 넣지 않는 것이 첫 번째 주의점이다. 발표 기준으로 지금 되는 것은 외부 AI 도구가 MCP 서버를 거쳐, 연결한 사용자의 권한 안에서 Jira와 Confluence에 접속하는 것이고, 에이전트가 스스로 작업을 집어 가는 연동은 아직 아니다.

공식 도움말로 확인한 통제 장치

표는 가로로 밀어서 볼 수 있습니다.

장치 도움말 기준 내용 PMO가 볼 점
사용자 권한 상속 AI 도구는 연결한 사용자가 이미 가진 권한으로만 동작한다 권한을 새로 주지는 않지만, 그 사람이 할 수 있는 일은 AI도 할 수 있다. 관리자 권한을 가진 사람이 연결하면 범위가 그만큼 넓다
허용 도메인 관리자 화면(Rovo MCP server 설정)에서 연결을 허용할 AI 도구 도메인을 더하고 뺀다 OAuth 2.1로 연결하는 도구에만 적용되고, API 토큰으로 연결하는 도구는 도메인으로 막을 수 없다
API 토큰 연결 기본 연결은 OAuth 2.1이고, 관리자가 허용하면 API 토큰으로도 연결할 수 있다. 도움말은 사용자 확인 없이 도는 도구, 공용 계정으로 부르는 자동화를 그 쓰임으로 든다 공용 계정 토큰은 「누가 했는지」가 흐려진다. 따로 목록을 둔다
IP 허용 목록 조직의 IP 허용 목록은 OAuth든 토큰이든 그대로 적용된다 이미 IP 제한을 쓰는 조직은 그 규칙이 AI 연결에도 걸린다
도구 묶음과 범위 도구가 읽기, 쓰기, 검색 묶음으로 나뉘고, Jira 삭제 묶음과 Jira 관리(프로젝트, 화면 등) 묶음은 기본으로 꺼져 있어 관리자가 켜야 한다(켜는 화면은 이 글에서 확인하지 못했다) 삭제와 관리 묶음을 켤지는 따로 결정할 일이다
활동 기록 MCP 서버로 도구가 쓰일 때마다 기록(도구, 동작, 사용자)이 감사 로그에 남는다. 도움말은 도구 사용 기록을 모든 요금제에서 볼 수 있다고 적었다 기록이 남는 것과 누가 그 기록을 보는가는 다른 문제다

이 글을 쓰며 읽은 도움말 문서에서는 서버 전체를 끄는 법, 도구 하나하나를 막는 법, MCP 사용의 요금제 조건을 찾지 못했다. 찾지 못했다는 것이지 그런 기능이 없다는 뜻은 아니다. 발표 글은 관리자 콘솔에서 읽기, 쓰기, 검색 범위를 관리한다고 썼지만 설정 문서에서 그 화면 설명은 찾지 못했다. 이 부분은 자기 조직 관리자 화면에서 확인해야 한다.

연결 전에 정할 다섯 가지

1. 누가 연결하나

AI 도구는 연결한 사람의 권한 안에서 움직이므로, 넓은 권한을 가진 사람이 연결할수록 AI가 닿을 수 있는 범위도 넓어진다. 관리 묶음이 기본으로 꺼져 있어도, 그 사람이 볼 수 있는 모든 프로젝트와 공간이 읽기와 쓰기 대상이 된다. 그래서 시범은 권한이 좁은 몇 사람으로 시작하고, 누가 연결했는지 활동 기록으로 확인하는 방법을 생각해 볼 만하다. 사용자별로 연결 자체를 막는 설정이 있는지는 도움말에서 확인하지 못했다.

2. 어떤 도구를 허용하나

OAuth 2.1로 연결하는 도구에 대해서는 허용 도메인 목록이 조직이 허용한 AI 도구 목록 구실을 한다. 지금 목록에 무엇이 들어 있는지 확인하고, 회사가 승인한 도구만 남기는 것을 검토한다. 그리고 API 토큰 연결은 도메인 목록이 막지 못한다는 점을 기억해, 토큰 연결은 허용할지부터 따로 정한다.

3. 읽기, 쓰기, 삭제를 어디까지

  • 읽기와 검색: 요약, 찾기, 보고 초안에 필요하다. 시범의 출발점.
  • 쓰기: 이슈 만들기와 고치기, 상태 바꾸기, Confluence 페이지 만들기와 고치기와 보관, Bitbucket 풀 리퀘스트 병합과 파이프라인 실행 같은 도구가 목록에 있다. 이 도구들의 기본 상태는 이 글에서 확인하지 못했다. AI가 만든 변경은 사람이 한 것처럼 보일 수 있다. 쓰기를 열 때는 「AI가 만든 이슈에는 표시를 붙인다」 같은 팀 규칙을 함께 둔다.
  • 삭제와 관리: 기본으로 꺼져 있다. 켜야 할 분명한 이유가 없으면 그대로 둔다.

4. 기록은 누가, 얼마나 자주 보나

활동 기록이 남는다는 것만으로는 통제가 되지 않는다. 누가 몇 주에 한 번 보는지, 무엇이 보이면(예: 한 사람이 짧은 시간에 많은 이슈를 고침) 묻는지를 정한다.

5. 무엇을 AI에게 넘기지 않나

Jira와 Confluence에는 고객 이름, 계약 조건, 인사 정보가 들어 있을 수 있다. AI 도구가 읽은 내용이 어떻게 처리되는지는 그 도구의 이용 조건에 따라 다르다. 어떤 공간과 프로젝트를 연결 대상에서 빼야 하는지, 회사 보안 규칙에서 먼저 확인한다.

PMO가 이번 주에 할 일

  1. 조직 관리자에게 Rovo MCP server 설정 화면에서 지금 허용된 도메인과 API 토큰 허용 여부를 확인해 달라고 요청한다.
  2. 활동 기록에서 이미 AI 도구로 Jira나 Confluence 도구를 쓴 기록이 있는지 본다.
  3. 위 다섯 가지를 한 쪽짜리 규칙으로 적어, 시범 연결 전에 보안 담당과 맞춘다.
  4. 「에이전트가 작업을 집어 가는 연동」처럼 설계 중인 기능은 일정 계획에 넣지 않고, 정식 발표가 나오면 다시 본다.

에이전트가 Jira 작업의 담당자가 될 때 책임을 어떻게 나눌지는 Jira 글(담당자가 AI 에이전트일 때의 책임)에서 이어서 볼 수 있다.

참고

애자일 프로젝트 관리 실무 과정 보기 → 새 창

목록으로 돌아가기