Azure AD应用注册未在AAD条件访问云应用列表显示及CA不生效问题

异常现象根因 #

你遇到的两个异常完全符合Azure AD的基础运行机制，不属于配置故障：

1. 初始创建的移动端/桌面端类应用注册，无法在Conditional Access的云应用选择列表中检索到
   Conditional Access策略的「云应用」可选范围，拉取的是租户内所有企业应用（对应服务主体Service Principal对象），而非应用注册页面展示的应用定义（Application Object）。仅配置了移动端/桌面端平台的公共客户端应用，在没有任何授权请求实际发生时，Azure AD不会自动为其创建对应的服务主体，因此不会出现在可选列表中。
2. 为应用添加Web平台配置后，应用可以在列表中检索到，但Conditional Access策略始终不触发
   当你在应用注册页面添加Web平台配置并保存时，Azure AD的管理界面会自动为该应用创建关联的服务主体，因此应用会同步出现在企业应用列表、Conditional Access的云应用可选范围内。策略不生效通常是以下几类常见配置遗漏导致的：

排查配置清单 #

• 匹配逻辑认知误区
  Conditional Access策略的「云应用」选项，匹配的是客户端认证时请求访问的受保护资源（比如自建的后端API、其他被保护的服务应用），而非发起登录请求的客户端应用本身。
  多数场景下，开发者会错误将CA策略的云应用选中自己搭建的客户端App Registration，但实际登录流程中，客户端请求的资源通常是微软Graph API、自建后端服务，而非客户端应用本身，自然永远无法触发策略匹配。
• 应用类型配置不统一
  即使正确将CA关联到了对应的资源应用，针对移动/桌面端的公共客户端流程，需要确认：
• 已在应用注册的「身份验证」模块，开启允许公共客户端流开关，避免Azure AD将应用识别为 confidential client，导致实际请求的客户端类型和配置不匹配
• 实际发起登录请求时传入的资源scope，和CA策略关联的应用id完全一致，没有出现资源指向其他应用的偏差
• 测试流程不符合策略触发要求
• 不要复用客户端本地缓存的旧令牌，旧令牌在Conditional Access策略配置前就已签发，不会经过策略评估。需要完全清除客户端本地的认证缓存，重新走完整的授权流程触发策略校验
• 登录后直接查看Azure AD sign-in日志中的Conditional Access标签页，确认目标策略的评估结果（是被跳过、不满足条件、还是已触发），不要仅凭主观使用体验判断策略未生效
• 认证上下文参数缺失
  如果CA策略配置了设备合规、MFA、位置限制等条件，需要确认移动/桌面端发起认证请求时，没有缺失对应的上下文参数（比如设备标识、登录IP、用户身份声明等），否则Azure AD会直接跳过该次登录请求的策略评估。

内容的提问来源于stack exchange，提问作者Esa