購買 FatLeon

博客

你自己的店，開在你自己的 AWS 帳號上。

GitHub 要求帳號開啟雙重驗證

10/22/202610 瀏覽
github

GitHub 的通知要求符合條件的帳號登記雙重驗證。規則在 GitHub 文件裡。這裡是把 Google 驗證器綁上去的做法。

帳號被要求登記雙重驗證時，GitHub 會顯示下面這則通知。句子是 GitHub 的。登記連結要先登入才打得開。

Click here to enroll in 2FA.

Making the software supply chain more secure is a team effort, and we can't do it without you. Your enrollment in 2FA is an impactful step in keeping the world's software secure. If you want to learn more about this change, please take a look at our documentation about the program.

To see this and other security events for your account, visit your account security audit log.

這項計畫要求什麼

GitHub 文件寫明，自 2023 年 3 月起，在 GitHub.com 上貢獻程式碼的帳號可能被要求開啟雙重驗證。符合的行為包括：發布 app 或 Action、建立 release、向高重要性儲存庫貢獻、管理那些儲存庫、擔任組織擁有者、發布套件，或擔任 enterprise 管理員。若你沒收到通知，GitHub 表示你不在被要求的那一組。標準之後可能改。頁面是 About mandatory two-factor authentication。

通知開始 45 天的登記期，接著是 7 天寬限。兩段都過了，GitHub.com 會維持關閉，直到雙重驗證開啟。已經發出的 personal access token 與 OAuth token 繼續有效。被鎖的帳號在開啟雙重驗證之前，不能授權新的 app，也不能建立新的 personal access token。GitHub 建議以有時效的驗證器 app 作為主要方式，passkey 或安全金鑰作為備用。簡訊是 GitHub 不建議優先使用的方式。用驗證器 app 不必把電話號碼交給 GitHub。GitHub Enterprise Managed Users 與 GitHub Enterprise Server 不在這項計畫裡。

對你自己部署的店

FatLeon Commerce 跑在你掌控的 AWS 帳號裡。GitHub 登入不是這個部署的一部分。GitHub 鎖住瀏覽器工作階段時，Amplify Hosting 和店仍在。GitHub 拿著的是私人 git，若你把原始碼放在那裡。授權允許私人 git。不允許用公開儲存庫把原始碼暴露給沒有授權的人。見服務條款與在 AWS Amplify 上你要管什麼。

綁定 Google 驗證器

GitHub 接受任何講 TOTP 的 app，也就是 RFC 6238 的有時效一次性密碼。Google 驗證器是其中一個。步驟跟著 GitHub 的設定指南。圖是我們畫的，不是截圖，QR 圖案也不是密鑰。只掃描 GitHub 在你自己螢幕上顯示的那一個。不要把那個碼或 setup key 貼到聊天或郵件。

設定路徑：Password and authentication，然後 Enable two-factor authentication
頭像、Settings、Password and authentication，然後 Enable two-factor authentication。登記連結開的是同一條流程。
  1. 從 App Store 或 Google Play 安裝 Google 驗證器。先打開一次，讓相機權限可以被允許。
  2. 在已登入的 GitHub 上打開登記頁。或點頭像，再點 Settings。側欄 Access 裡點 Password and authentication。在 Two-factor authentication 下點 Enable two-factor authentication。
  3. GitHub 顯示 QR code 時，就停在這個方式。
掃描之後的驗證器，畫面上是 GitHub 的六位示例碼
在 Google 驗證器裡點 +，再點 Scan a QR code。新的一列是 GitHub。六位數字大約每 30 秒換一次。圖上的 482193 是示例。
  1. 在 Google 驗證器裡點 +，再點 Scan a QR code，把相機對準 GitHub 頁面上的 QR code。相機讀不到時，在 GitHub 上點 setup key。在 app 裡選 Enter a setup key。帳號名稱寫 GitHub，類型維持 time based，貼上密鑰。
  2. App 顯示六位數字。在 GitHub 的 Verify the code from the app 底下，於數字刷新前輸入。若被拒絕，等下一組。手機時鐘設成自動。
六位驗證欄，以及下載恢復碼
輸入目前的數字，下載恢復碼，再確認你已保存。那個確認才是把雙重驗證打開的動作。
  1. 在 Save your recovery codes 底下下載恢復碼，放到不是這支手機、也不是這個 GitHub 帳號的地方。然後點 I have saved my recovery codes。GitHub 的指南寫明，這一點才啟用雙重驗證。
  2. 接著 GitHub 開始 28 天的檢查期。在這 28 天內用 app 登入一次。之後可以再加 passkey 或安全金鑰。GitHub 的指南把那些當作備用，而且要先設定好 TOTP app 或簡訊。

登入與其他安全事件在帳號安全紀錄。手機丟了，從 GitHub 自己的頁面開始：Recovering your account if you lose your 2FA credentials。