Microsoft Intune 모바일 애플리케이션 관리(MAM) 구성

Mattermost v11.11번역일: 2026-09-02원본 보기

Entry, Enterprise Advanced 플랜에서 사용할 수 있습니다.

iOS용 Mattermost 모바일 앱이 Microsoft Intune 앱 보호 정책(MAM)을 적용하도록 구성하면, 기기 등록(MDM) 없이도 개인 기기 사용(BYOD) 및 혼용 기기에서 조직 데이터를 보호할 수 있습니다.

이 가이드는 iOS에서 Intune MAM을 성공적으로 활성화하기 위해 필요한 구성을 설명합니다.

먼저 읽어야 할 내용

Mattermost의 Intune MAM 적용은 ID 기반이며, System Console > Environment > Mobile Security에서 적용 대상 Auth Provider로 선택한 로그인 방식에만 적용됩니다.

  • 적용 대상 인증 공급자는 Azure AD objectId로 사용자를 확인해야 합니다(IdAttribute = objectId).
  • MSAL 액세스 토큰에는 oid 클레임이 포함되어야 하며, 이 값이 동일한 Azure AD objectId와 일치해야 합니다(ID 정합성 확인: objectId ↔ oid).
중요

기술적 오류로 Intune MAM 등록에 실패하면 해당 Mattermost 서버가 모바일 앱에서 제거되고, 그 서버의 캐시 데이터가 기기에서 삭제됩니다.

지원되지 않는 시나리오

다음의 경우에는 이 가이드가 적용되지 않습니다.

  • Android 기기에서 Intune MAM이 필요한 경우
  • Microsoft Entra ID가 뒷받침하지 않는 로그인 방식에 Intune MAM을 적용하려는 경우
  • 적용 대상 인증 공급자가 사용자를 Azure AD objectId로 확인할 수 없는 경우
  • 적용 대상 로그인 방식에 대해 사용자가 Intune MAM을 우회하거나 미룰 수 있는 도입 모델이 필요한 경우

게스트 접근 같은 다른 인증 방식은 별도로 활성화할 수 있지만, Intune MAM 평가 대상은 아닙니다.

사전 요구 사항

계속하기 전에 다음을 확인하세요.

  • 인증에 Microsoft Entra ID를 사용합니다.
  • Azure AD objectId를 권위 있는 ID로 확정할 수 있습니다.
  • 해당 서버에 Mattermost Enterprise Advanced 라이선스가 있습니다.
  • 대상 사용자에게 Microsoft Intune 라이선스가 있습니다.
  • Microsoft Entra에서 애플리케이션을 등록하고 테넌트 전체 관리자 동의를 부여할 수 있습니다.
  • SAML에 Intune MAM을 적용하는 경우, 사용자가 이미 Mattermost에 존재해야 합니다(SAML에서는 모바일 로그인으로 사용자가 생성되지 않습니다).
참고

이 가이드에서 OpenID Connect(OIDC)는 Mattermost 모바일 앱이 MSAL을 통해 사용하는 Microsoft Entra 로그인 방식을 가리킵니다.

구성 개요

Intune MAM을 성공적으로 적용하려면 다음 영역의 구성을 함께 맞춰야 합니다.

  • Microsoft Entra ID – 앱 등록, 스코프, API 권한, 관리자 동의
  • Microsoft Intune – iOS 앱 보호 정책
  • Mattermost 서버 – MAM 활성화 및 공급자 선택
  • Mattermost 모바일 앱(iOS) – 등록 및 정책 적용

아래 단계를 순서대로 완료하세요.

설정 요약

  1. ID 요구 사항과 정합성을 확인합니다(objectId ↔ oid).
  2. Microsoft Entra를 구성합니다(서버가 참조하는 애플리케이션).
  3. Intune 앱 보호 정책을 구성합니다.
  4. Mattermost에서 Intune MAM을 활성화하고 적용 대상 공급자를 선택합니다.
  5. 공식 Mattermost iOS 앱을 배포합니다.
  6. 등록과 정책 적용을 검증합니다.

나중에 필요한 값

설정 과정에서 다음 값을 기록해 두세요.

값확인 위치사용 위치
Directory (tenant) IDEntra 앱 등록 개요Mattermost 시스템 콘솔
Application (client) IDEntra 앱 등록 개요Mattermost 시스템 콘솔
Application ID URIEntra 앱 > Expose an APIAuthorized client applications에서 api://<APPLICATION-ID>/login.mattermost 스코프 참조를 구성할 때 사용
login.mattermost 스코프Entra 앱 > Expose an APIAuthorized client applications
모바일 클라이언트 애플리케이션 IDMattermost가 제공Entra 앱 > Authorized client applications
iOS 번들 ID(프로덕션/베타)이 가이드Intune 앱 보호 정책

1단계: Intune MAM을 위한 ID 구성

이 단계에서는 Intune MAM 적용 대상으로 선택한 인증 공급자에 필요한 ID 모델을 정의합니다.

필수 ID 모델

Mattermost용 Microsoft Intune MAM은 Azure AD objectId를 권위 있는 사용자 식별자로 요구합니다. 다음은 협상 불가능한 조건입니다.

  • 적용 대상 공급자의 IdAttribute는 반드시 objectId여야 합니다.
  • MSAL 액세스 토큰에는 oid 클레임이 포함되어야 합니다.
  • Intune MAM을 활성화하기 전에 ID 정합성(objectId ↔ oid)을 확인하세요.

ID 정합성 확인(objectId ↔ oid)

동일한 사용자에 대해 다음 값들이 일치해야 합니다.

  • Azure AD objectId
  • MSAL 액세스 토큰의 oid 클레임
  • SAML objectidentifier(해당하는 경우)
  • LDAP msDS-aadObjectId(해당하는 경우)

하나라도 일치하지 않으면 등록이 되지 않습니다.

인증 방식별 ID 적용

OIDC(MSAL을 통한 모바일 로그인)

  • Mattermost는 MSAL 액세스 토큰을 ID 확인과 등록에 사용합니다.
  • ID 정합성(objectId ↔ oid)을 확인하세요.

SAML(Entra 기반)

  • SamlSettings.IdAttribute가 objectidentifier에 매핑되어야 합니다.
  • 이메일, UPN, immutableID는 지원되지 않습니다.
  • 모바일 로그인 전에 사용자가 이미 Mattermost에 존재해야 합니다.

LDAP(Entra ID Domain Services)

  • msDS-aadObjectId를 사용하세요.
  • objectGUID는 사용하지 마세요.

런타임 적용 동작

공급자에 Intune MAM이 활성화되면 다음과 같이 동작합니다.

  • 로그인 시점뿐 아니라 세션이 진행되는 동안에도 정책이 적용됩니다.
  • 정책, 라이선스, 구성 변경으로 Intune MAM이 새로 필요해지면 등록이 즉시 시작될 수 있습니다.
  • 사용자는 적용 대상 공급자에 대해 정책 적용을 우회할 수 없습니다.

사전 점검 목록

  • Intune 라이선스가 있는 테스트 사용자 확보
  • 테넌트 전체 관리자 동의를 부여할 수 있는 권한
  • 적용 대상 공급자 확정(OIDC 또는 SAML)
  • IdAttribute = objectId 구성 완료
  • ID 정합성 검증 완료(objectId ↔ oid)
  • 공식 Mattermost iOS 앱 배포 완료
  • 대상 번들 ID 확인: com.mattermost.rn(프로덕션), com.mattermost.rnbeta(베타)

2단계: Intune MAM을 위한 Microsoft Entra 구성

Mattermost 서버가 참조할 단일 테넌트 Microsoft Entra 애플리케이션을 등록합니다. 이 애플리케이션은 MSAL 액세스 토큰을 검증하고 Intune MAM 등록을 지원합니다.

Mattermost 모바일 앱 자체를 등록하지는 않습니다. 리디렉션 URI 구성도 필요하지 않습니다.

Entra 애플리케이션 등록

  1. Identity > Applications > App registrations로 이동합니다.
  2. New registration을 선택합니다.
  3. 다음과 같이 구성합니다.
    • Name: Mattermost Mobile (Intune MAM)
    • Supported account types: Single tenant
  4. 앱을 등록합니다.
  5. 다음 값을 복사합니다.
    • Application (client) ID
    • Directory (tenant) ID

API 노출 및 스코프 생성

  1. Expose an API로 이동합니다.
  2. Application ID URI가 설정되어 있는지 확인합니다(예: api://<APPLICATION-ID>).
  3. login.mattermost라는 이름의 스코프를 추가합니다.
  4. 변경 사항을 저장합니다.

공식 모바일 클라이언트 승인

공식 Mattermost 모바일 클라이언트 애플리케이션 ID(Mattermost가 제공)가 login.mattermost 스코프를 요청할 수 있도록 승인합니다.

  1. Entra 앱 등록에서 Expose an API로 이동합니다.
  2. Authorized client applications에서 Add a client application을 선택합니다.
  3. 공식 Mattermost 모바일 클라이언트 애플리케이션 ID(Mattermost가 제공)를 다음과 같이 추가합니다.
    • Beta: 64e9952b-20eb-46dc-92ad-99089ed24903
    • Production: 9ac649f1-4f77-44d6-9792-b2f54ab3c9a7
  4. api://<APPLICATION-ID>/login.mattermost 스코프를 승인합니다.
  5. 변경 사항을 저장합니다.
  1. API permissions로 이동합니다.
  2. Add a permission을 선택합니다.
  3. 다음 Microsoft Graph 위임 권한을 추가합니다.
    • Microsoft Graph → email (Delegated)
    • Microsoft Graph → profile (Delegated)
  4. 테넌트에 대해 Grant admin consent를 선택합니다.

이는 Mattermost 서버가 참조하는 Entra 애플리케이션에 대해 고객 관리자가 반드시 부여해야 하는 권한입니다.

이 권한이 없거나 테넌트 전체 관리자 동의가 없으면, Entra 권한·관리자 동의 오류(예: AADSTS650057)로 등록이 실패하거나 최초 로그인 시 사용자에게 Consent Denied 메시지가 표시될 수 있습니다.

MSAL 토큰 및 필수 클레임 구성

Intune MAM을 활성화하기 전에, Entra 앱 등록이 모바일 로그인 시 Mattermost가 기대하는 클레임을 담은 액세스 토큰을 발급하는지 확인하세요.

  1. Entra 앱 등록에서 Token configuration으로 이동합니다.
  2. Add optional claim을 선택합니다.
  3. Token type에서 Access를 선택합니다.
  4. 다음 선택적 클레임을 추가합니다.
    • email
    • family_name
    • given_name
    • preferred_username
    • upn
  5. 변경 사항을 저장합니다.
참고

Mattermost의 Intune MAM 적용은 MSAL 액세스 토큰을 사용합니다. 필수 클레임이 없으면 로그인 또는 등록이 실패할 수 있습니다.

MSAL v2 액세스 토큰 활성화

  1. 앱 Manifest를 엽니다.
  2. 토큰 버전을 2로 설정합니다.
    • 매니페스트에 api.requestedAccessTokenVersion이 있으면 2로 설정합니다.
    • 없으면 accessTokenAcceptedVersion을 2로 설정합니다.
  3. 변경 사항을 저장합니다.

3단계: Intune 앱 보호 정책 구성

  1. Intune admin center > Apps > App protection policies로 이동합니다.
  2. 정책을 생성합니다.
    • Platform: iOS/iPadOS
    • Targeted app: Managed apps
  3. 번들 ID로 Mattermost 앱을 추가합니다.
    • com.mattermost.rn(프로덕션)
    • com.mattermost.rnbeta(베타)
  4. 보호 설정을 구성합니다.
  5. Entra ID 사용자 그룹에 할당합니다.
  6. 변경 사항을 저장합니다.

프로덕션 앱과 베타 앱에는 각각 별도의 정책이 필요합니다.

4단계: Intune MAM을 위한 Mattermost 서버 구성

  1. System Console > Environment > Mobile Security로 이동합니다.
  2. Enable Microsoft Intune MAM을 True로 설정합니다.
  3. Auth Provider를 선택합니다.
    • OpenID Connect(Entra 기반)
    • SAML 2.0(Entra 기반)
  4. 다음 값을 입력합니다.
    • Tenant ID
    • Application (Client) ID
  5. 변경 사항을 저장합니다.

적용 대상 공급자는 IdAttribute = objectId로 ID를 확인해야 합니다.

5단계: Mattermost iOS 앱 배포

다음 경로로 공식 Mattermost iOS 앱을 내려받아 설치합니다.

  • Apple App Store(프로덕션)
  • TestFlight(베타)

래핑, 재서명, 사설 배포된 앱은 지원되지 않습니다.

6단계: 등록 검증

iOS에서 라이선스가 있는 테스트 사용자로 검증하세요.

다음을 확인합니다.

  • 등록이 성공적으로 완료되는지
  • 로그인 시점과 세션 중간에 정책이 적용되는지
  • ID 정합성이 올바른지(objectId ↔ oid)

모바일 로그인 시 예상 동작

  1. 사용자가 MSAL을 통해 로그인합니다.
  2. Mattermost가 액세스 토큰을 검증합니다.
  3. Intune MAM 등록이 시작됩니다.
  4. 앱 보호 정책이 적용됩니다.

등록이 필요하지만 완료할 수 없는 경우, 등록에 성공할 때까지 접근이 차단됩니다.

문제 해결

대부분의 실패 원인은 다음과 같습니다.

  • ID 불일치(objectId ↔ oid)
  • IdAttribute가 objectId로 설정되지 않음
  • Entra API 권한 또는 관리자 동의 누락
  • 앱 보호 정책이 해당 사용자나 앱을 대상으로 하지 않음
  • 지원되지 않는 클라이언트 또는 플랫폼

빠른 진단

  1. ID 정합성(objectId ↔ oid)을 확인합니다.
  2. IdAttribute = objectId인지 확인합니다.
  3. Entra 권한과 관리자 동의를 확인합니다.
  4. Auth Provider 선택을 확인합니다.
  5. Intune 정책 대상 지정을 확인합니다.

사용자가 등록을 거부한 경우에는 다시 시도할 수 있습니다.

Intune MAM 오류

아래 오류는 모바일 로그인 중이나 세션 중간에 Intune MAM 적용이 시작될 때 발생할 수 있습니다. 일부 오류는 Mattermost 모바일 앱에 표시되지만, 나머지는 표시되지 않으므로 Mattermost 서버 로그로 진단해야 합니다.

참고

아래 표에서 Fallback: Web SSO는 모바일 앱이 Intune MAM이 활성화되지 않은 것처럼, 구성된 로그인 방식(SAML 또는 OpenID Connect)의 Intune 미적용 버전을 사용한다는 뜻입니다.

오류 의미 관리자 관점의 원인과 다음 단계
Enrollment Failed
Error ID: (varies)
HTTP: (varies)
시나리오: 등록 실패(기술적 오류)
사용자 메시지: "Enrollment Failed"
재시도: 불가
폴백: 없음
 기술적 오류로 Intune MAM 등록에 실패했습니다. 원인: 기술적 실패(MSAL 오류, Intune 등록 API 실패, ID 불일치, Entra 권한 누락)로 등록을 완료하지 못했습니다.
동작: 서버가 즉시 제거되며 재시도 옵션이 없습니다. 해당 서버의 캐시 데이터도 삭제됩니다.
다음 단계: 근본 원인을 해결한 뒤 사용자가 모바일 앱에서 서버를 다시 추가하도록 안내하세요.
관리자 점검: IdAttribute = objectId인지 확인하고, ID 정합성(objectId ↔ oid)을 확인하며, 테넌트 전체 관리자 동의를 확인하고, 앱 보호 정책이 해당 사용자와 올바른 iOS 번들 ID를 대상으로 하는지 확인하세요.
Enrollment Declined
Error ID: (varies)
HTTP: (varies)
시나리오: 사용자가 등록을 거부함
사용자 메시지: "Enrollment Declined"
재시도: 가능
폴백: 없음
 사용자가 Intune MAM 등록을 거부했습니다. 원인: 사용자가 등록 안내를 취소했습니다.
동작: Retry 옵션이 표시되며, 이후 기술적 등록 실패가 발생하지 않는 한 서버 데이터는 삭제되지 않습니다.
다음 단계: 준비가 되면 다시 등록하도록 사용자에게 안내하세요.
Consent Denied
Error ID: (varies)
HTTP: (varies)
시나리오: 관리자 동의 누락(최초 로그인)
사용자 메시지: "You denied consent for Intune management. The affected accounts have been unenrolled and signed out."
재시도: 가능(관리자 동의 부여 후)
폴백: 없음
 필요한 Entra 앱 권한에 테넌트 전체 관리자 동의가 없어 등록을 완료할 수 없습니다. 원인: Mattermost 서버에 구성된 Entra 앱 등록에서 필요한 위임 권한에 테넌트 전체 관리자 동의가 부여되지 않았습니다.
동작: 사용자가 동의를 거부한 것처럼 메시지가 표시될 수 있지만, 실제 원인은 관리자 동의 누락입니다.
다음 단계: Microsoft Entra에서 Mattermost에 구성된 동일한 Entra 앱 등록에 대해 Microsoft Graph 위임 권한 email과 profile에 테넌트 전체 관리자 동의를 부여한 뒤, 사용자가 모바일 로그인을 다시 시도하도록 하세요.
(표시되지 않음)
Error ID: api.user.login_by_intune.not_available.app_error
HTTP: 501
시나리오: Enterprise가 컴파일되지 않음
사용자 메시지: (표시되지 않음)
재시도: 불가
폴백: 표준 SSO(Intune 미적용)
 이 서버에서는 Intune MAM 로그인을 사용할 수 없습니다. 원인: 서버가 Intune MAM을 지원하지 않습니다(해당 빌드에 기능이 없거나 배포에서 활성화되지 않음).
다음 단계: 서버 빌드에 Intune MAM 지원이 포함되어 있고 배포에 Enterprise Advanced 라이선스가 적용되어 있는지 확인하세요.
사용자 안내: 서버를 업데이트하거나 구성을 바로잡는 동안, 사용자에게 해당 공급자(SAML 또는 OpenID Connect)의 표준(Intune 미적용) SSO 흐름으로 웹·데스크톱에서 로그인하도록 안내하세요.
(표시되지 않음)
Error ID: api.user.login_by_intune.not_configured.app_error
HTTP: 400
시나리오: Intune이 구성되지 않음
사용자 메시지: (표시되지 않음)
재시도: 불가
폴백: 표준 SSO(Intune 미적용)
 조직에는 Intune MAM이 활성화되어 있으나 서버에 구성되어 있지 않습니다. 원인: System Console > Environment > Mobile Security에서 Intune MAM이 완전히 구성되지 않았습니다.
다음 단계: Microsoft Intune MAM을 활성화하고 Tenant ID, Application (Client) ID, Auth Provider가 올바르게 설정되어 있는지 확인하세요.
관리자 점검: 선택한 인증 공급자가 Entra 기반인지, Entra 앱 등록에 필요한 권한과 관리자 동의가 부여되었는지 확인하세요.
사용자 안내: 서버를 업데이트하거나 구성을 바로잡는 동안, 사용자에게 해당 공급자(SAML 또는 OpenID Connect)의 표준(Intune 미적용) SSO 흐름으로 웹·데스크톱에서 로그인하도록 안내하세요.
Bot accounts cannot sign in using this method.
Error ID: api.user.login_by_intune.bot_login_forbidden.app_error
HTTP: 403
시나리오: 봇이 로그인을 시도함
사용자 메시지: "Bot accounts cannot sign in using this method."
재시도: 불가
폴백: 없음
 해당 계정은 Intune MAM 로그인을 사용할 수 없습니다. 원인: 봇 계정은 Intune MAM으로 인증할 수 없습니다.
다음 단계: Intune MAM 등록과 접근에는 사람이 사용하는 계정을 사용하세요.
Your account has been deactivated. Please contact your administrator.
Error ID: api.user.login_by_intune.account_locked.app_error
HTTP: 409
시나리오: 사용자가 삭제·비활성화됨
사용자 메시지: "Your account has been deactivated. Please contact your administrator."
재시도: 불가
폴백: 없음
 해당 계정은 로그인할 수 없습니다. 원인: Mattermost에서 사용자가 삭제·비활성화되었거나 잠겨 있습니다.
다음 단계: Mattermost에서 사용자 계정을 다시 활성화하거나 복구한 뒤 로그인과 등록을 다시 시도하세요.
(표시되지 않음)
Error ID: ent.intune.login.not_configured.app_error
HTTP: 403
시나리오: IsConfigured() = false
사용자 메시지: (표시되지 않음)
재시도: 불가
폴백: 표준 SSO(Intune 미적용)
 현재 로그인 경로에 Intune MAM이 구성되어 있지 않습니다. 원인: 요청된 인증 경로에 Intune MAM이 구성되어 있지 않습니다(구성 미완료 또는 공급자 선택 불일치).
다음 단계: Intune MAM이 활성화·구성되어 있는지, 선택한 Auth Provider가 사용자의 실제 인증 방식(OIDC 또는 SAML)과 일치하는지 확인하세요.
사용자 안내: 서버를 업데이트하거나 구성을 바로잡는 동안, 사용자에게 해당 공급자(SAML 또는 OpenID Connect)의 표준(Intune 미적용) SSO 흐름으로 웹·데스크톱에서 로그인하도록 안내하세요.
We couldn't complete your sign in. Please try again.
Error ID: ent.intune.login.extract_auth_data.app_error
HTTP: 400
시나리오: IdAttribute 매핑 실패
사용자 메시지: "We couldn't complete your sign in. Please try again."
재시도: 가능(1회)
폴백: 없음
 로그인 중 ID 매핑에 실패했습니다. 원인: 서버가 Intune MAM에 필요한 ID 속성을 추출하거나 매핑하지 못했습니다(대개 IdAttribute가 잘못 구성되었거나 토큰이 MSAL v2가 아님).
다음 단계: IdAttribute = objectId인지 확인한 뒤 ID 정합성(objectId ↔ oid)을 확인하세요. Entra 앱이 v2 토큰을 발급하는지(accessTokenAcceptedVersion = 2) 검증하세요.
Your account isn't fully set up yet. Please sign in to Mattermost via the web or desktop app first.
Error ID: ent.intune.login.account_not_found.app_error
HTTP: 428
시나리오: SAML 사용자 계정을 찾을 수 없음
사용자 메시지: "Your account isn't fully set up yet. Please sign in to Mattermost via the web or desktop app first."
재시도: 불가
폴백: 없음
 SAML 기반 로그인에서 해당 사용자가 Mattermost에 존재하지 않습니다. 원인: Intune MAM 적용 공급자로 SAML을 선택한 경우, 모바일 로그인으로는 새 사용자를 생성할 수 없습니다.
다음 단계: 사용자가 웹 또는 데스크톱 앱에서 한 번 로그인해 계정을 프로비저닝한 뒤 모바일 로그인을 다시 시도하도록 하세요.
관리자 점검: 프로비저닝 수단(웹·데스크톱 최초 로그인, LDAP 동기화, 기타 프로비저닝 방식)이 마련되어 있는지 확인하세요.
We couldn't verify your sign in. Please try again.
Error ID: ent.intune.validate_token.invalid_token.app_error
HTTP: 400
시나리오: 토큰 검증 실패
사용자 메시지: "We couldn't verify your sign in. Please try again."
재시도: 가능(1회)
폴백: 없음
 액세스 토큰을 검증할 수 없습니다. 원인: 토큰 검증에 실패했습니다(토큰 형식 오류, 잘못된 발급자·대상, 권한 누락, Entra 구성 불일치).
다음 단계: 구성된 Tenant ID와 Application (Client) ID가 Mattermost 서버가 참조하는 Entra 앱 등록과 일치하는지 확인하세요. 동일한 앱 등록에 대해 Microsoft Graph 위임 권한 email과 profile에 테넌트 전체 관리자 동의가 부여되었는지 확인하세요. 그런 다음 해당 사용자의 ID 정합성(objectId ↔ oid)을 확인하세요.
관리자 점검: v2 토큰(accessTokenAcceptedVersion = 2)인지, Microsoft Graph 위임 권한 email과 profile에 테넌트 전체 관리자 동의가 있는지 확인하세요.
Your sign in session has expired. Please try signing in again.
Error ID: ent.intune.validate_token.token_expired.app_error
HTTP: 400
시나리오: 토큰 만료
사용자 메시지: "Your sign in session has expired. Please try signing in again."
재시도: 가능(1회)
폴백: 없음
 등록이 완료되기 전에 인증 세션이 만료되었습니다. 원인: 로그인·등록 도중 액세스 토큰 또는 대화형 세션이 만료되었습니다.
다음 단계: 사용자가 다시 로그인해 등록을 즉시 완료하도록 안내하세요.
관리자 점검: 반복해서 발생한다면, 등록 중 기기가 Entra·Intune 엔드포인트에 접근할 수 있고 안내 창이 차단되지 않는지 확인하세요.
We couldn't complete your sign in. Please contact your IT administrator.
Error ID: ent.intune.validate_token.missing_claims.app_error
HTTP: 400
시나리오: 필수 클레임 누락
사용자 메시지: "We couldn't complete your sign in. Please contact your IT administrator."
재시도: 불가
폴백: 없음
 액세스 토큰에 로그인과 등록에 필요한 클레임이 없습니다. 원인: MSAL 액세스 토큰에 필수 클레임이 없습니다(대개 oid 또는 Mattermost가 요구하는 선택적 클레임).
다음 단계: MSAL v2 액세스 토큰이 발급되는지(accessTokenAcceptedVersion = 2), 토큰에 oid가 포함되는지 확인하세요. Entra 앱 등록에서 Token configuration으로 이동해 Access 토큰에 선택적 클레임 email, family_name, given_name, preferred_username, upn이 추가되어 있는지 확인하세요. 적용 대상 공급자가 IdAttribute = objectId를 사용하는지 확인한 뒤 ID 정합성(objectId ↔ oid)을 검증하세요.
There was a configuration issue. Please contact your IT administrator.
Error ID: ent.intune.validate_token.invalid_tenant_id.app_error
HTTP: 400
시나리오: 토큰의 테넌트 ≠ 구성된 테넌트
사용자 메시지: "There was a configuration issue. Please contact your IT administrator."
재시도: 불가
폴백: 없음
 토큰의 테넌트가 구성된 테넌트와 일치하지 않습니다. 원인: 토큰이 Mattermost에 구성된 테넌트와 다른 테넌트에서 발급되었습니다.
다음 단계: System Console > Environment > Mobile Security에 구성된 Tenant ID가 해당 사용자의 MSAL 토큰을 발급하는 Entra 테넌트와 일치하는지 확인하세요.
AADSTS650057
(invalid_resource)
Error ID: (AADSTS650057)
HTTP: (varies)
시나리오: invalid_resource
사용자 메시지: (MSAL/Entra 오류)
재시도: 불가(수정 전까지)
폴백: 없음
 Entra 앱 구성에 필요한 권한 또는 관리자 동의가 없습니다. 원인: 필요한 Intune MAM API 권한이 없거나 테넌트 전체 관리자 동의가 부여되지 않았습니다.
다음 단계: Microsoft Entra 관리 센터에서 (App registrations가 아닌) Enterprise applications로 이동해 Mattermost Mobile 또는 Mattermost Mobile Beta를 검색한 뒤, Permissions를 열어 Intune MAM 권한(예: https://msmamservice.api.application/.default 및 Microsoft Mobile Application Management → user_impersonation (Delegated))을 추가하고 관리자 동의를 부여하세요. 그런 다음 사용자가 로그인을 다시 시도하도록 하세요.
NotLicensed
Error ID: (NotLicensed)
HTTP: (varies)
시나리오: 라이선스가 없거나 비활성 상태
사용자 메시지: (경우에 따라 다름)
재시도: 불가
폴백: 없음
 서버에 Intune MAM 적용을 위한 라이선스가 없습니다. 원인: Enterprise Advanced 라이선스가 없거나 서버에 적용되지 않았습니다.
다음 단계: 서버에 Enterprise Advanced 라이선스를 적용하고 라이선스가 활성 상태인지 확인한 뒤 다시 시도하세요.
HTTP 403 Forbidden
Error ID: (HTTP 403)
HTTP: 403
시나리오: 서버 측에서 접근 차단
사용자 메시지: (경우에 따라 다름)
재시도: 불가
폴백: 없음
 서버 측 게이팅 조건으로 접근이 차단되었습니다. 원인: 서버의 게이팅 조건이 등록을 막고 있습니다(Intune 서비스 장애가 아닙니다).
다음 단계: Enterprise Advanced 라이선스, Intune MAM 활성화 여부, 사용자의 실제 인증 방식과 Auth Provider 선택의 일치 여부, 구성된 Tenant ID와 Application (Client) ID의 정확성, 테넌트 전체 관리자 동의 부여 여부를 확인하세요. 그런 다음 ID 정합성(objectId ↔ oid)과 올바른 iOS 번들 ID에 대한 Intune 앱 보호 정책 대상 지정을 확인하세요.

사용자의 첫 모바일 로그인이 Consent Denied 또는 다음 메시지와 함께 실패하는 경우가 있습니다.

You denied consent for Intune management. The affected accounts have been unenrolled and signed out.

이는 Mattermost 서버가 참조하는 Entra 앱 등록에 테넌트 전체 관리자 동의가 없다는 뜻으로 보아야 합니다. 조치 방법은 위 Intune MAM 오류 표의 Consent Denied 항목을 참고하세요.

해결 방법은 다음과 같습니다.

  1. Microsoft Entra 관리 센터에서 Enterprise applications로 이동합니다.
  2. Mattermost Mobile 또는 Mattermost Mobile Beta를 검색합니다.
  3. Permissions로 이동해 Intune MAM 권한(예: https://msmamservice.api.application/.default 및 Microsoft Mobile Application Management → user_impersonation (Delegated))에 대해 테넌트 전체 관리자 동의를 추가·부여합니다.
  4. 사용자가 모바일 로그인을 다시 시도하도록 합니다.

도입 및 복구 지침

  • 먼저 소규모 그룹으로 파일럿을 진행하세요.
  • 전면 도입 전에 ID 정합성을 검증하세요.
  • 요구 사항이 바뀌면 세션 중간에도 정책이 적용될 수 있음을 감안하세요.