Android MSAL库未填充设备ID问题求助

核心逻辑说明 #

MSAL Android默认使用Microsoft专属设备标识符（非Android系统原生Android ID），该标识符由库自动生成并存储在应用私有存储，用于设备信任与MFA豁免。Entra中看不到设备ID，本质是设备注册流程未正常触发或完成。

步骤1：开启MSAL设备认证配置 #

在你的auth_config.json配置文件中，必须添加设备认证启用项，确保MSAL自动处理设备身份上报：

{
  "client_id": "你的客户端ID",
  "redirect_uri": "msauth://你的应用包名/你的签名哈希值",
  "device_auth_enabled": true,
  "broker_redirect_uri_registered": true
}

重点确认device_auth_enabled设为true，这是触发设备注册的核心开关。

步骤2：启用Broker应用支持 #

MSAL的设备信任依赖Microsoft Authenticator或Intune Company Portal这类官方Broker应用，未启用Broker会导致设备ID无法被Entra识别：

• 初始化PublicClientApplication时开启Broker支持：

val pcaConfig = PublicClientApplicationConfiguration.builder()
    .setBrokerEnabled(true)
    .build()
val pca = PublicClientApplication.create(context, R.raw.auth_config, pcaConfig)

• 设备上必须安装并登录对应Broker应用，MSAL会自动调用Broker完成设备注册，完成后Entra后台即可看到设备ID。

步骤3：验证设备注册状态 #

通过MSAL API主动检查设备注册状态，确保流程完成：

pca.getDeviceInformation()
    .addOnSuccessListener { deviceInfo ->
        if (!deviceInfo.isRegistered) {
            pca.registerDevice() // 触发注册流程，用户需在Broker中完成验证
        }
    }

只有设备成功注册后，后续API请求才会自动携带合法设备ID，满足Entra的设备信任要求。

关键注意事项 #

• 禁止手动设置自定义设备ID或Android ID，MSAL原生生成的标识符是唯一受信任的，手动赋值会破坏设备信任链，无法实现MFA豁免。
• 需在Entra租户中配置条件访问策略，将"已注册的设备"设为MFA豁免条件，否则即使设备ID上报正常，也无法绕过MFA。

内容的提问来源于stack exchange，提问作者RuAware