二要素認証への登録を求められたアカウントには、GitHub が次の通知を出します。文は GitHub のものです。登録リンクはサインイン後に開きます。

Click here to enroll in 2FA.

Making the software supply chain more secure is a team effort, and we can't do it without you. Your enrollment in 2FA is an impactful step in keeping the world's software secure. If you want to learn more about this change, please take a look at our documentation about the program.

To see this and other security events for your account, visit your account security audit log.

このプログラムが求めるもの

GitHub のドキュメントは、2023 年 3 月から、GitHub.com でコードを貢献するアカウントに 2FA を求められる場合があると書いています。対象になる行為には、app や Action の公開、リリースの作成、重要度の高いリポジトリへの貢献とその管理、Organization のオーナー、パッケージの公開、Enterprise の管理者があります。通知が来ていないなら、GitHub は必須グループではなかったとしています。基準は変わり得ます。ページは About mandatory two-factor authentication です。

通知から 45 日の登録期間が始まり、その後に 7 日の猶予があります。両方を過ぎると、2FA をオンにするまで GitHub.com は閉じたままです。すでに発行された personal access token と OAuth token は動き続けます。ロックされたアカウントは、2FA をオンにするまで、新しい app の認可も新しい personal access token の作成もできません。GitHub は、時間で変わる認証アプリを主、パスキーまたはセキュリティキーを予備にすることを勧めています。SMS は GitHub が優先しない方法です。認証アプリなら、電話番号を GitHub に渡す必要はありません。GitHub Enterprise Managed Users と GitHub Enterprise Server はこのプログラムの外です。

自分でデプロイする店への影響

FatLeon Commerce は、自分で管理する AWS アカウントで動きます。GitHub へのサインインは、そのデプロイの一部ではありません。GitHub がブラウザのセッションをロックしても、Amplify Hosting と店は動いたままです。GitHub が持っているのはプライベート git で、ソースをそこへ置いている場合です。ライセンスはプライベート git を許します。ライセンスのない人にソースが見える公開リポジトリは許しません。利用規約とAWS Amplify で動かすものを見てください。

Google 認証システムを紐付ける

GitHub は TOTP を話すアプリを受け付けます。RFC 6238 の、時間で変わるワンタイムパスワードです。Google 認証システムもその一つです。手順は GitHub の設定ガイドに沿っています。図はこちらが描いたもので、スクリーンショットではなく、QR の模様も秘密ではありません。スキャンするのは、GitHub が自分の画面に出しているコードだけです。そのコードや setup key をチャットやメールに送らないでください。

1. App Store または Google Play から Google 認証システムを入れます。一度開き、カメラの許可を出せるようにします。
2. サインインした GitHub で登録ページを開きます。またはプロフィール写真、Settings の順です。サイドバーの Access で Password and authentication を押します。Two-factor authentication の下で Enable two-factor authentication を押します。
3. GitHub が QR コードを出したら、その方法のまま進めます。

4. Google 認証システムで +、次に Scan a QR code を押し、カメラを GitHub のページの QR コードに向けます。カメラが読めないときは、GitHub で setup key を押します。アプリでは Enter a setup key を選びます。アカウント名は GitHub、種類は time based のまま、秘密を貼ります。
5. アプリが六桁を出します。GitHub の Verify the code from the app に、数字が更新される前に入力します。拒否されたら次の数字を待ちます。電話の時計は自動にします。

6. Save your recovery codes でコードをダウンロードし、この電話でもこの GitHub アカウントでもない場所に置きます。それから I have saved my recovery codes を押します。GitHub のガイドは、このクリックが 2FA を有効にすると書いています。
7. その後 GitHub は 28 日の点検を始めます。この 28 日のあいだに、アプリで一度サインインします。パスキーやセキュリティキーは後から足せます。GitHub のガイドはそれらを予備とし、先に TOTP アプリか SMS が要ると書いています。

サインインとその他のセキュリティイベントはアカウントのセキュリティログにあります。電話を失ったときは、GitHub 自身のページから始めます。Recovering your account if you lose your 2FA credentials。