GitHub「Proof of Presence」とは？2026年9月24日発表の高影響アクション前 MFA 必須化機能

AI開発ツールアップデート料金改定GitHub

GitHub が 2026年9月24日、「Require proof of presence for high-impact actions」をパブリックプレビューで発表しました。トークン作成・Webhook 編集・リカバリーコード閲覧などの高影響アクションの前に、IdP（Microsoft Entra ID）での対話的再認証または MFA チャレンジを必須にできる機能です。チャレンジ成功後 2 時間は同じセッションで再チェックなし。対象・設定手順・IdP 要件を公式発表と公式ドキュメントの記載値だけで整理します。

結論から言うと、Proof of Presence は GitHub が 2026年9月24日にパブリックプレビューで発表した機能で、GitHub Enterprise Cloud のエンタープライズで、トークン作成・Webhook 編集などの高影響アクションの前に IdP での対話的再認証または MFA チャレンジを必須にできます。IdP は Microsoft Entra ID（SAML または OIDC）が必須で、チャレンジ成功後は 2 時間、同じセッションで再チェックなしで高影響アクションを続行できます。sudo モードの拡張にあたり、エンタープライズ管理者がエンタープライズ設定から有効化します。

GitHub は 2026年9月24日、Changelog で「Require proof of presence for high-impact actions」を発表しました（出典: GitHub Changelog、2026年9月26日取得）。発表によると、メンバーが高影響アクションを試みると GitHub から IdP へリダイレクトされ、IdP 側でポリシー検証（MFA の実行、デバイス準拠チェック、再サインインなど）が行われ、ポリシー充足の証明が IdP から戻った場合のみアクションが続行されます。背景には、セッションクッキーの盗難や長寿命トークンの悪用が近年のサプライチェーン攻撃で確認されたことがあり、有効なセッションやトークンの使用ではなく「その場に実在する権限を持つ人物」であることを確認します。乗っ取られた認証情報や、意図しないエージェントの操作をブロックするねらいが示されています。

本稿では、対象環境、高影響アクションの例、設定手順、セッションの有効期間を、公式発表と公式ドキュメント（取得日 2026年9月26日）に書かれている値だけで整理します。ページに記載のない項目（一般提供の時期・PR マージ適用の日程など）は「公式未公表」として区別し、推測では埋めません。

何ができるようになるか: 高影響アクション前の IdP チャレンジ

トークン作成・Webhook 編集・組織のセキュリティ設定変更・リカバリーコード閲覧などの高影響アクションの前に、IdP での対話的再認証または MFA チャレンジを要求できるようになります（出典: GitHub Changelog、2026年9月24日発表・2026年9月26日取得）。要求の強度は 2 段階から選べ、どちらも sudo モードと同じセッションモデルを使います。

• 高影響アクションの例（発表で挙げられたもの）: トークンの作成、Webhook の編集、組織のセキュリティ設定の変更、リカバリーコードの閲覧（出典: GitHub Changelog、2026年9月26日取得）。対象アクションは sudo モードの保護対象アクションと同一で、sudo モードをトリガーする操作が Proof of Presence チャレンジのトリガーにもなります（出典: GitHub Docs「Configuring proof of presence」「About sudo mode」、2026年9月26日取得）
• 選べる 2 つの要件: 「再認証（Re-authentication）」は IdP での再認証を要求し、エンタープライズの認証ポリシー次第ではパスワードベースの認証でチャレンジを満たせる場合があります。「MFA」は再認証に加えて、認証アプリや生体認証などエンタープライズで設定された多要素認証のチャレンジを要求します（出典: GitHub Docs「Configuring proof of presence」、2026年9月26日取得）
• 規制対応: FDA Part 11 などのフレームワークにおける「機密操作前の新規認証」のコンプライアンス要件の充足を支援するとされています（出典: GitHub Changelog、2026年9月26日取得）

対象と IdP 要件: GitHub Enterprise Cloud で Entra ID（SAML または OIDC）が必須

対象は GitHub Enterprise Cloud のエンタープライズで、Enterprise Managed Users（EMU）のエンタープライズと GHEC-DR（データレジデンシー）に対応します。パブリックプレビューでサポートされる IdP は Microsoft Entra ID のみで、SAML または OIDC 経由での接続が前提です（出典: GitHub Changelog、2026年9月24日発表・2026年9月26日取得）。

• 前提条件: エンタープライズとサポート対象 IdP 間の SSO を設定しておく必要があります。個人アカウント利用のエンタープライズは SAML SSO の設定、EMU 利用は EMU の認証設定のドキュメントが案内されています（出典: GitHub Docs「Configuring proof of presence」、2026年9月26日取得）
• EMU での動作: EMU のエンタープライズでは、マネージドユーザーアカウントには GitHub 上に認証情報が保存されないため、セットアップユーザーのみが sudo mode のプロンプトを受け取ります（出典: GitHub Docs「About sudo mode」、2026年9月26日取得）
• プレビューであることの注意: パブリックプレビュー機能のため変更される可能性があるとされています。有効化前に、IdP の認証ポリシーが求める保証レベルを満たすかを確認することが推奨されています。チャレンジを完了できないメンバーは、エンタープライズ管理者または IdP 管理者に連絡する必要があります（出典: GitHub Docs「Configuring proof of presence」、2026年9月26日取得）

設定手順とセッション: エンタープライズ設定で有効化、チャレンジ成功後 2 時間

設定はエンタープライズ単位で、エンタープライズの Settings の Authentication security にある Proof of presence から認証要件を選びます。チャレンジに成功すると 2 時間、同一ブラウザセッション内であれば再チェックなしで高影響アクションを続行できます（出典: GitHub Changelog・GitHub Docs「Configuring proof of presence」、2026年9月26日取得）。

1. エンタープライズのページへ移動します（出典: GitHub Docs「Configuring proof of presence」、2026年9月26日取得）
2. 上部の Settings（歯車アイコン）をクリックします（出典: 同ページ、2026年9月26日取得）
3. Settings 内の Authentication security をクリックします（出典: 同ページ、2026年9月26日取得）
4. Proof of presence のドロップダウンメニューで認証要件（再認証または MFA）を選択します。有効化するとポリシーはエンタープライズ全体に適用されます（出典: 同ページ、2026年9月26日取得）

• セッションの仕組み: sudo mode のセッションタイムアウトは 2 時間で、この間に実行した機密性の高い操作はタイマーをリセットします。Proof of Presence も同じセッションモデルを使い、再認証に成功すると sudo-mode セッションが期限切れになるまで保護対象アクションを実行できます（出典: GitHub Docs「About sudo mode」「Configuring proof of presence」、2026年9月26日取得）

今後の展開と公式未公表の項目

今後の展開として、プルリクエストのマージ前への Proof of Presence 適用が「近日公開（coming soon）」とされています（出典: GitHub Changelog、2026年9月24日発表・2026年9月26日取得）。一方で、PR マージ適用の具体的な日程、一般提供（GA）の時期、対応 IdP の Entra ID 以外への拡大時期については発表ページに記載がなく、公式未公表です。対象となる高影響アクションの完全な一覧も設定ドキュメントには記載がなく、sudo mode の保護対象アクションと同一とだけ説明されています。

よくある質問

Q. GitHub の Proof of Presence（proof of presence）とは何ですか？

A. 高影響アクションの実行前に、IdP（Microsoft Entra ID）での対話的再認証または MFA チャレンジを必須にできる GitHub Enterprise Cloud の機能です。2026年9月24日にパブリックプレビューで発表され、セッションクッキーの盗難や長寿命トークンの悪用への対策として、「その場に実在する権限を持つ人物」であることを確認します（出典: GitHub Changelog、2026年9月26日取得）。

Q. 高影響アクションにはどのような操作があり、MFA は必須ですか？

A. トークンの作成、Webhook の編集、組織のセキュリティ設定の変更、リカバリーコードの閲覧などが挙げられています（出典: GitHub Changelog、2026年9月26日取得）。MFA は必須ではなく、「再認証」と「MFA」の 2 段階から選べます。再認証は IdP ポリシー次第でパスワードのみで成立する場合があり、MFA を選ぶと認証アプリや生体認証などの多要素チャレンジが加わります（出典: GitHub Docs「Configuring proof of presence」、2026年9月26日取得）。

Q. sudo モードと何が違い、再認証後はどのくらい有効ですか？

A. Proof of Presence は sudo モードの拡張で、GitHub 自身での再認証の代わりに、エンタープライズの IdP 経由での再認証（必要に応じて MFA を含む）を要求する点が違います。セッションの有効期間は sudo モードと同じ 2 時間で、チャレンジ成功後は sudo-mode セッションが期限切れになるまで、同じブラウザセッション内で再チェックなしで高影響アクションを続行できます（出典: GitHub Docs「About sudo mode」「Configuring proof of presence」、2026年9月26日取得）。

Q. GitHub Enterprise Cloud のセキュリティ設定のどこで有効化しますか？

A. エンタープライズの Settings の Authentication security にある Proof of presence で設定します。設定はエンタープライズ単位で、有効化するとエンタープライズ全体に適用されます。前提として、SSO IdP として Microsoft Entra ID（SAML または OIDC）との接続が必要です（出典: GitHub Docs「Configuring proof of presence」、2026年9月26日取得）。

AI開発ツール速報（当サイト）は、Anthropic・OpenAI・GitHub など開発ツールの更新やセキュリティ関連の変更を、公式発表への出典付きでお届けする速報メディアです。エンタープライズの認証要件は組織のセキュリティ設計とコンプライアンス対応に直結するため、PR マージへの適用や一般提供の時期などの続報も、出典を添えて確認できます。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針