Linux系统（Debian/Raspbian）下移除Azure信息保护标签的可行方案

1. 直接调用Azure Information Protection REST API #

REST API是跨平台的，完全可以在Linux上通过curl、Python或其他脚本语言调用，不需要依赖Windows客户端。步骤如下：

• 先获取Azure AD的OAuth2访问令牌用于身份验证：

  curl -X POST https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "client_id={client-id}&scope=https://aadrm.com/.default&client_secret={client-secret}&grant_type=client_credentials"
  

• 拿到令牌后，调用解密API处理文件：

  curl -X POST https://api.aadrm.com/api/v2/decrypt \
  -H "Authorization: Bearer {access-token}" \
  -H "Content-Type: application/octet-stream" \
  --data-binary "@encrypted-file.pdf" \
  -o "decrypted-file.pdf"
  

  注意：需提前在Azure AD中注册应用，赋予对应的AIP解密权限，并获取tenant-id、client-id和client-secret。

2. 基于.NET Core的MIP SDK工具 #

MIP SDK支持.NET Core，而.NET Core可在Linux上运行，你可以快速开发一个轻量解密工具：

• 在Debian/Raspbian上安装.NET Core SDK：

  sudo apt-get update && sudo apt-get install -y dotnet-sdk-6.0
  

• 创建控制台项目，添加MIP SDK的NuGet包（Microsoft.InformationProtection.File）
• 编写核心解密逻辑，示例代码片段：

  var mipContext = MIP.CreateContext(MipApplicationInfo.ApplicationId, MipApplicationInfo.ApplicationName, LogLevel.Info);
  var fileEngine = mipContext.FileEngineFactory.CreateFileEngine("{client-id}", "{tenant-id}", "{access-token}", new FileEngineSettings());
  var fileHandler = fileEngine.CreateFileHandler("encrypted-file.docx", true);
  fileHandler.Decrypt("decrypted-file.docx");
  

  这种方法灵活性高，适合批量处理，还能打包成可执行文件直接在Linux上运行。

3. 利用Azure云端服务中转解密 #

如果不想在本地处理，可借助Azure Logic Apps或Azure Functions实现云端自动解密：

• 配置Azure Logic Apps流程：当加密文件上传到Azure Blob存储时，触发AIP解密动作，再将解密后的文件保存到指定容器。
• 在Linux上用az storage blob upload上传加密文件，之后用az storage blob download拉取解密后的文件到本地。
• 这种方式无需在Linux上安装任何AIP组件，完全依赖云端服务，适合偶尔处理文件的场景。

内容的提问来源于stack exchange，提问作者KapaA