TG咨询目录里把账号停用了，安卓企业应用就一定无法再访问吗？未必。安卓端企业应用接入统一目录后的账号生命周期管理，关键不只是统一登录，还要处理应用会话、访问令牌、设备上的本地数据，以及账号与设备之间的关系。若只做单点登录（SSO），离职账号可能仍保有尚未过期的访问状态。
先分清目录账号与应用访问状态
以 Microsoft Entra ID 或 Keycloak 等身份平台为例，统一目录可以集中维护身份、组别和登录策略；应用则可能通过 OpenID Connect 或 SAML 完成认证。两者并不自动等于账号同步：SCIM 可用于在目录与应用间创建、更新或停用账号，但是否支持、同步哪些字段，取决于具体产品配置。
安卓端还多一层设备状态。应用可能保存刷新令牌、离线文件或本地数据库；工作资料夹也可能与个人空间分开管理。因此，安卓端企业应用接入统一目录后的账号生命周期管理，应分别核查目录、应用服务端和终端，而不是只看登录页。
按入职、变更、离职设计动作
入职：授权从最小范围开始
先确认员工身份和所需应用，再依据岗位或团队分配角色。使用基于角色的访问控制（RBAC）时，应检查角色对应的具体权限，避免把默认组等同于“所有功能可用”。首次登录后，核对目录身份、应用账号和安卓设备上的工作身份是否对应同一人。
变更：检查权限是否随岗位调整
转岗或职责变化时，移除不再需要的组和角色，再授予新权限。若应用只在登录时读取目录组别，权限变更可能要等重新认证或同步任务运行后才生效；应查明更新机制，并通过应用管理后台确认结果。
离职：停用之后还要验证会话
目录停用通常能阻止新的认证，但已有令牌是否立即失效，要看令牌有效期、应用的撤销机制和服务端校验方式。安卓应用若支持离线访问，已下载内容也未必会随账号停用而自动清除。不能把“目录显示已禁用”当作回收完成。
可执行的回收核对清单
- 确认身份范围：从目录记录核对账号、关联邮箱或唯一标识，以及其所属组；避免仅凭相似姓名操作。
- 先阻止新访问：按组织流程停用目录账号，并移除相关应用分配、组成员资格及高权限角色。
- 处理应用侧状态：在应用管理端停用账号或撤销会话；确认应用是否支持 SCIM 停用、令牌撤销和活跃会话管理。
- 检查安卓设备：通过企业移动设备管理策略移除工作资料或清除企业数据。个人设备上的企业数据与个人数据应区分处理，具体能力取决于设备管理方式和应用设计。
- 验证并留痕：检查审计记录与账号状态；在受控测试账号上确认无法重新登录、旧会话无法继续访问，并记录执行人、时间、系统和异常项。
把回收时效写进制度，而不靠猜测
账号关闭时限应按业务风险、应用能力和设备是否在线设定，并明确责任人。例如，目录停用可以即时触发，但移动设备离线时，远程清除可能要等设备重新联网才执行。制度应区分“阻止新登录”“撤销服务端会话”和“清除终端数据”三个完成条件，并规定无法确认时的升级处理方式。
建议定期抽查离职和转岗记录，比较目录、应用后台、设备管理平台三处状态；发现应用不支持自动停用时，可增加人工复核或缩短权限复查周期。这样，安卓端企业应用接入统一目录后的账号生命周期管理才有可验证的闭环，而不是停留在身份平台的一条禁用记录。
常见问题
目录停用后，安卓应用会立即退出吗？
不一定。新认证通常会受影响，但已有会话、令牌和离线内容还要看应用与设备管理策略。
只有单点登录，够不够完成账号回收？
通常不够。SSO 负责认证入口，应用账号停用、会话撤销和终端数据处理仍需分别核查。
个人手机上的企业数据怎么处理？
优先使用支持工作资料或企业数据隔离的管理方案，并按已告知的设备政策执行，避免误删个人内容。
如何确认回收已经完成？
同时核对目录停用、应用账号与会话状态、设备侧企业数据处理结果，并保留审计记录。