結論

• str -> naive -> aware(UTC) にしてからあつかう
• datetime.replace の tzinfo とか datetime の tzinfo には pytz.timezone("Asia/Tokyo") を食わせてはいけない
• 見てみぬふりは……だめですかそうですか

まず import ，UTC/JSTの定義，日付文字列の用意 [1]

from datetime import datetime, timedelta, timezone

UTC = timezone.utc
JST = timezone(timedelta(hours=+9), "JST")
val = "2020/02/15T13:59:27Z"

結論

サービス名/アカウント名等任意に変更したかったらIIJ SmartKeyが良い

詳細

以下，一定時間毎に生成される6桁あるいは8桁の数値の事をトークンと表記します． また，Android上での話です．iPhoneとか他のOS載った端末はようわかりません．

OTPを生成するアプリは色々有ります．

• Google 認証システム
• Microsoft Authenticator
• Salesforce Authenticator
• Blizzard Authenticator

等々．んで，会社の端末では下記4つを使ってます．

• Google 認証システム
• Microsoft Authenticator
• IIJ SmartKey
• Adobe Authenticator

これらに，対応している各サービスで生成される2段階認証用のQR(コード)をスキャンして登録するわけですが，各アプリによって読み取れるURIのパラメータや登録後の可能な操作が異なるます． 読み込ませたサンプル [1] /個人的な雑感込みでそれらを書きます．