AzureAD如何识别设备是否已注册？登录时AzureAD、设备与Intune的数据流向是怎样的？

完整登录与决策流程 #

• 设备端发起登录请求：用户在已完成Intune注册的设备上启动Teams，触发AzureAD OAuth2.0登录请求。此时设备本地的*Intune管理代理（安卓端为公司门户APP）*会自动在请求头中附加设备唯一标识、租户关联信息、本地缓存的最新合规状态快照。
• AzureAD完成身份基础校验：验证用户账号凭据、MFA等身份规则通过后，先提取请求中的设备标识，校验该设备是否已在当前租户的AzureAD设备目录中完成注册（Intune托管设备的注册信息会自动同步到AzureAD）。
• AzureAD向Intune发起设备状态查询：如果当前触发的条件访问策略包含「要求设备为托管设备」「要求设备合规」类规则，AzureAD会调用Intune服务的内部接口，传入设备ID查询两个核心判定字段：设备是否为有效Intune托管状态、设备最新的合规性评估结果。
• Intune返回查询结果：Intune侧返回该设备的托管状态、合规状态、最后一次合规扫描时间等必需的判定数据。
• AzureAD输出访问决策：结合条件访问策略规则匹配返回的设备状态，符合要求则向Teams发放有效访问令牌，允许登录访问；不符合要求则直接阻断，返回对应策略拦截提示。

核心数据流转规则 #

• 设备→AzureAD：仅传递设备标识、基础状态类字段，不会传递设备上的用户隐私数据、应用列表等非必要信息。
• AzureAD→Intune：仅传递设备ID、租户ID等查询参数，不会透传用户的账号密码、MFA校验信息等敏感身份数据。
• Intune→AzureAD：仅返回策略判定必需的设备托管、合规状态字段，不会返回设备的额外管理数据。

补充说明 #

若条件访问策略未配置设备相关校验规则，AzureAD无需调用Intune接口，完成身份校验后可直接发放访问令牌。
Intune默认每8小时对托管设备做一次合规性扫描，也可手动触发设备立即同步最新状态。

内容的提问来源于stack exchange，提问作者Dalip Choudhary