Enterprise Managed Users の管理者が、トークン作成や組織のセキュリティ設定変更などの直前に、メンバーを IdP へ戻して再認証を要求できる。窃取されたセッションや長期トークンだけでは操作を完了できない。
Public preview の対象は、Microsoft Entra ID を SAML または OIDC の SSO に使う EMU エンタープライズ（github.com と GHEC-DR）。
有効化後、トークン作成、webhook の編集、組織のセキュリティ設定変更、リカバリコードの閲覧などで GitHub が IdP へリダイレクトする。要件を満たした証明が戻った場合だけ操作が進む。IdP 側では再サインイン、多要素、デバイス準拠などをポリシーで決められる。
設定はエンタープライズの Authentication security。
- Re-authentication：IdP で再認証。ポリシーによってはパスワードだけで足りる
- MFA：再認証に加え、認証アプリや生体など IdP 側の多要素
成功後はそのブラウザセッションで 2 時間、sudo mode と同じ扱い。プルリクエストのマージ前チェックは今後対応予定。