安卓集成MSAL与Intune SDK时调用registerAccountForMAM()返回AUTHORIZATION_NEEDED

核心根因 #

当前报错本质是MSAL在Intune SDK的授权回调中，无法正常获取到Intune MAM服务的有效访问令牌。结合已完成应用多租户注册、手动触发管理员授权流程的前置操作，按以下优先级逐点排查即可定位问题。

排查修复步骤 #

1. 核对Azure应用的权限配置匹配性 #

• 确认应用API权限列表中，已添加Microsoft Intune MAM服务主体的委托权限。很多开发者容易只配置Microsoft Graph相关权限就跑通基础登录流程，实际请求Intune MAM资源时，会直接触发AADSTS65001未授权错误。
• 确认权限范围与代码逻辑一致：回调方法中构造的scope为resourceId + "/.default"，其中resourceId是Intune SDK传入的Intune MAM服务应用标识。要确保手动触发管理员授权时，授权范围包含该资源对应的scope，而非仅授权基础的OpenID、用户资料类默认权限。
• 排除授权对象错配：手动触发admin consent的授权动作，是授予“你的应用对Intune MAM资源的访问权限”，而非给你的应用自身分配权限。授权完成后需在企业应用权限列表中，确认Intune MAM相关权限的状态为“管理员已授予”。

2. 修正MSAL多租户场景的配置偏差 #

• 检查MSAL配置的权威端点：多租户应用需使用公共权威端点，不可在配置文件中固定绑定单租户的专属端点，否则其他租户用户触发授权后，静默获取令牌时会因租户域不匹配触发未授权异常。
• 修正账户加载逻辑：当前代码直接通过AAID加载本地缓存账户，未校验该账户与Intune SDK回调传入的aadId、upn是否完全匹配。需遍历本地缓存的所有账户实体，匹配回调传入的用户ID对应的账户，避免拿错缓存账户触发权限校验失败。
• 补全方法返回逻辑：当前实现的acquireToken方法调用iAuthenticationResult.getAccessToken()后，未将令牌作为返回值传回Intune SDK，会直接导致SDK因拿不到有效令牌，判定为授权失败。

3. 补全令牌获取的异常兜底逻辑 #

• 当前实现未处理静默获取令牌抛出的MsalUiRequiredException：当静默请求因需要交互授权失败时，需在回调中触发MSAL交互式令牌获取流程，传入与静默请求完全一致的scope、账户参数，完成用户/管理员的授权流程后，将获取到的有效令牌返回给Intune SDK，不可直接将异常抛出。
• 补全空值校验逻辑：当前代码中本地账户为空时，仅捕获打印异常未中断逻辑，会导致后续静默获取令牌时触发空指针崩溃，需在账户为空时直接触发交互式登录流程。

4. 校验手动管理员授权的有效性 #

• 此前手动构造的授权URL未携带Intune MAM资源对应的scope参数，导致授权流程仅授予基础的身份验证权限，未覆盖Intune服务的访问范围。需将对应资源的scope加入授权URL参数后，重新触发全局管理员的consent流程，确保权限真正下发到所有租户用户。
• 授权完成后，可直接用测试用户的身份发起资源令牌获取请求，确认静默获取可正常返回有效令牌，排除授权流程未生效的问题。

内容的提问来源于stack exchange，提问作者Swati