Finalmente encontré la respuesta. Tenía cuatro cuentas de Google - una de ellas no podía sincronizarse porque requería que se aplicara la política de dominio, y yo no lo había permitido. Conecté la tablet a mi portátil y usé adb logcat para ver qué se registraba cuando aparecía el error:
I/GLSUser (28125): GLS error: DeviceManagementRequiredOrSyncDisabled <<account name redacted>> oauth2:https://www.googleapis.com/auth/personal_derived_data https://www.googleapis.com/auth/paths.notifications
V/GoogleLoginService(28125): Returning error intent with: ComponentInfo{com.google.android.gsf.login/com.google.android.gsf.login.LoginActivity}
E/Velvet.VelvetNetworkClient( 4564): Failed to get auth token
(estos mensajes se repitieron varias veces).
Adiviné que la cuenta errante podría haber estado involucrada (aunque no era la cuenta con la que estaba tratando de activar Ahora), eliminé la cuenta del dispositivo y todo está bien.