运行C#控制台应用遇AADSTS53000错误：设备合规性存疑

关于“设备”的误解 #

首先明确：AAD报错里的“设备”不一定指物理设备，而是AAD认证上下文里的设备身份标识。控制台应用默认是“无头”运行的，不会主动向AAD注册设备身份——哪怕你的物理设备在Intune里是合规的，AAD也无法将这个控制台应用的请求关联到合规的设备身份上，因此触发条件访问拦截。

关于.NET版本的疑问 #

net6.0-windows10.0.17763.0本身不会直接导致这个错误。设备合规的认证逻辑由Microsoft.Identity.Client（MSAL）库实现，你需要确认使用的MSAL版本是否适配.NET 6，以及是否正确配置了设备相关的认证参数。

具体解决方向 #

• 调整MSAL调用方法：AcquireTokenOnBehalfOf是为API-to-API的代理场景设计的，不适合直接在用户交互的控制台应用中使用。如果你的控制台应用需要以用户身份访问资源，应该改用AcquireTokenInteractive（需要用户弹窗登录）或AcquireTokenByDeviceCode（无UI设备登录），这两个方法会触发设备身份注册流程，让AAD识别到物理设备的合规状态。
• 检查应用注册配置：在Azure AD中，将你的控制台应用配置为公共客户端应用，并确保启用了设备代码流/交互式认证的权限。
• 同步设备合规状态：联系公司IT管理员，确认物理设备的合规状态是否已同步到Azure AD——有时候Intune的合规状态同步会有延迟。
• 验证条件访问策略范围：确认公司的条件访问策略是否误将控制台应用纳入了“设备合规”要求的范围，如果是，可申请调整策略或为应用添加例外。

内容的提问来源于stack exchange，提问作者Daniel