メモ
2023 年 3 月より、GitHub では、GitHub.com でコードを投稿するすべてのユーザーに、1 つ以上の形式の 2 要素認証 (2FA) を有効にすることが求められます。 該当するグループに属しているユーザーは、そのグループが登録対象として選択されると通知メールを受け取り、45 日間の 2FA 登録期間が開始されて、GitHub.com での 2FA への登録を求めるバナーが表示されます。 通知を受け取らないユーザーは、2FA を有効にする必要があるグループには含まれませんが、有効にすることを強くお勧めします。
2FA 登録のロールアウトについて詳しくは、こちらのブログ記事をご覧ください。
GitHub では、2 つ目の認証形式は、モバイル デバイス上のアプリケーションで生成された、またはテキスト メッセージ (SMS) で送信されたコードです。 2FA を有効にすると、誰かがアカウントにサインインしようとするたびに、GitHub によって認証コードが生成されます。 本人のアカウントにサインインできるのは、パスワードを知っていて、本人の携帯電話で認証コードにもアクセスできる方だけです。
2FA を構成した後、時間ベースのワンタイム パスワード (TOTP) mobile app を使用するか、text messageを使用して、FIDO2 ハードウェア セキュリティ キー、Apple Touch ID または Windows Hello などのセキュリティ キーを追加できます。 セキュリティキーを使用した認証を可能にする技術は、WebAuthnと呼ばれます。 WebAuthnはU2Fの後継であり、現代的なすべてのブラウザーで動作します。 詳細については、「WebAuthn」と「Can I Use」(使用できますか) を参照してください。
必要に応じて、アカウントにパスキーを追加できます。 パスキーはセキュリティ キーに似ており、パスワードと 2FA の両方の要件を満たすため、1 つの手順でサインインできます。 ただし、アカウント ロックアウトのリスクを軽減するには、TOTP モバイル アプリや SMS ベースの認証などの代替の 2FA 方法も構成する必要があります。 パスキーの対象となる 2FA のセキュリティ キーを既に設定している場合は、登録時にパスキーにアップグレードするように求められることがあります。「パスキーの概要」を参照してください。
TOTP モバイル アプリまたはテキスト メッセージを構成した後、2FA に GitHub Mobile を使用することもできます。 GitHub Mobile では、公開キー暗号を使ってアカウントをセキュリティで保護しているので、2 番目の要素として GitHub Mobile へのサインインに使ったモバイル デバイスを使用できます。
2 要素認証の認証情報にアクセスできなくなった場合に備えて、追加のリカバリ方法を設定することもできます。 2FA の設定の詳細については、「2 要素認証を設定する」と「2 要素認証リカバリ方法を設定する」を参照してください。
メモ
どの復旧方法も使用できない場合は、アカウントへのアクセスが完全に失われています。 ただし、ロックされたアカウントに関連付けられているメール アドレスのリンクを解除することはできます。 リンクを解除したメール アドレスは、その後新規または既存のアカウントにリンクできます。 詳しくは、「ロックされたアカウントからメール アドレスのリンクを解除する」をご覧ください。
アカウントの安全性を確保するために、GitHub だけでなく、2FA をサポートする他の Web サイトやアプリでも 2FA を有効にすることを強くお勧めします。 2FA を有効にして、GitHub と GitHub Desktop にアクセスすることができます。
2FA を有効にしない場合、新規または認識されていないデバイスから初めてサインインするときに、GitHub から、本人であることを確認するために追加の検証が求められることがあります。 「サインイン時の新しいデバイスを確認」を参照してください。
詳しくは、「2 要素認証を利用した GitHub へのアクセス」をご覧ください。
2 要素認証のリカバリコード
2要素認証を設定する際には、2FAリカバリコードをダウンロードして保存することになります。 電話が使えなくなった場合は、回復コードを使って GitHub に認証を受けることができます。詳細については、「2 要素認証クレデンシャルをなくした際のアカウントの回復」を参照してください。
警告
セキュリティ上の理由から、2 要素認証の資格情報をなくしたり、アカウントの復旧方法にアクセスできなくなったりした場合、GitHub サポートでは 2 要素認証が有効になっているアカウントへのアクセスを復元することはできません。詳細については、「2 要素認証クレデンシャルをなくした際のアカウントの回復」を参照してください。
Organization で 2 要素認証を要求する
組織の所有者は、その組織のメンバー、課金マネージャー、および外部のコラボレーターが個人アカウントを保護するために 2 要素認証を使うことを要求できます。 詳しくは、「Organization で 2 要素認証を要求する」をご覧ください。