MS Authenticator「TAP ループ」― 残った要素がどのように動作に影響するか

MS Authenticator に 2 個目のプロファイルを足すと、QR → TAP → 完了まで行くのに、最後で初期画面へ戻される。同じ手順を何回やっても変わらず、どこか一部だけ終わりきらず残ってる感じになる。

Entra 側では AuthenticatorApp / AuthenticatorAppDevice / TAP がそれぞれ別の行で持たれていて、内部では device_id と nonce の整合性を見てる。古い行が残ってるとこの整合性が閉じず、登録完了後の次のステップが返ってこない。画面は完了まで進んでるのに、応答だけ別ルートへ行ってしまう。なんでこうなるのか。

どの行が終わりきらず残ってるのか追うと、問題の位置が見えてくる。1 個目のプロファイルが普通に通るのは、既存メソッドがなくて判定が乱れないから。2 個目以降でループが出るのは、昔のデバイスや MDM の残りが method_state に影響してるため。終わったはずの要素が残ってると、TAP の登録が新規扱いにならず、再構成側へ寄る。

修復は、Entra の Authentication methods から古い Authenticator の行を消して、新しい TAP をそのまま登録し直すだけでいい。TAP は一度使うと nonce が更新されるので、古い行が残ってる限り整合性が閉じない。だから巻き戻しが続く。アプリ再インストールや OS 更新では何も変わらない。問題の位置がクライアント側じゃないから。終わりきらない行がひとつ残るだけで、このループが出る。今回の TAP ループはその典型例。