Aktivér understøttelse af AES256-CBC-krypteret indhold i Exchange Server august 2023 SU

Aktivér understøttelse af krypteringstilstanden AES256-CBC i Exchange Server 

August 2023 SU til Exchange Server understøtter dekryptering af AES256-CBC-tilstandskrypterede mails og vedhæftede filer. Følg disse trin for at aktivere denne support: 

1. Installér august 2023 SU på alle dine Exchange 2019- og 2016-servere.

2. Kør følgende cmdlet'er på alle Exchange 2019- og 2016-servere.

   Bemærk!: Fuldfør trin 2 på alle Exchange 2019- og 2016-servere i dit miljø, før du fortsætter til trin 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Bemærk!: Nøglen -AclObject $acl føjes til registreringsdatabasen under installationen af AUGUST SU. 

3. Hvis du bruger AzRMS, skal AzRMS-forbindelsen opdateres på alle Exchange-servere. Kør det opdaterede GenConnectorConfig.ps1 script for at generere de registreringsdatabasenøgler, der introduceres til understøttelse af AES256-CBC-tilstand i Exchange Server august 2023 SU og nyere Exchange-versioner. Download det nyeste script til GenConnectorConfig.ps1 fra Microsoft Download Center.

   Du kan få mere at vide om, hvordan du konfigurerer Exchange-servere til at bruge forbindelsen, under Konfigurer servere til Forbindelse til Microsoft Rights Management.I artiklen beskrives specifikke konfigurationsændringer for Exchange Server 2019 og Exchange Server 2016. 
   
   Du kan få mere at vide om, hvordan du konfigurerer servere for Rights Management-forbindelsen, herunder hvordan du kører den, og hvordan du installerer indstillingerne, under Indstillinger i registreringsdatabasen for Rights Management Connector.

4. Hvis du har august 2023 SU installeret, understøttes kun dekryptering af AES-256 CBC-krypterede mails og vedhæftede filer i Exchange Server. Hvis du vil aktivere denne support, skal du køre følgende tilsidesættelsesindstilling:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   Ud over de ændringer, der blev foretaget i august 2023 SU, tilføjer SU fra oktober 2023 understøttelse af kryptering af mails og vedhæftede filer i AES256-CBC-tilstand. Hvis du har installeret SU for oktober 2023, skal du køre følgende tilsidesættelser:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Opdater argumentet VariantConfiguration. Det gør du ved at køre følgende cmdlet:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Hvis du vil anvende de nye indstillinger, skal du genstarte Tjenesten World Wide Web Publishing og Windows Process Activation Service (WAS). Det gør du ved at køre følgende cmdlet:
   
   Restart-Service -Name W3SVC, WAS -Force

Hvis du har Exchange-hybridinstallation (postkasser i både det lokale miljø og Exchange Online) 

Organisationer, der bruger Exchange Server sammen med Azure Rights Management Service Connector (Azure RMS), fravælger automatisk AES256-CBC-tilstandsopdateringen i Exchange Online indtil mindst januar 2024. Men hvis du vil bruge den mere sikre AES-256 CBC-tilstand til at kryptere mails og vedhæftede filer i Exchange Online og dekryptere sådanne mails og vedhæftede filer i Exchange Server, skal du udføre disse trin for at foretage de nødvendige ændringer i din Exchange Server installation.  

Når du har fuldført de nødvendige trin, skal du åbne en supportsag og derefter anmode om, at indstillingen for Exchange Online opdateres for at aktivere AES256-CBC-tilstand.  

Hvis du bruger Microsoft 365 Apps med Exchange Server 

Som standard bruger alle dine M365-programmer, f.eks. Microsoft Outlook, Microsoft Word, Microsoft Excel og Microsoft PowerPoint, AES256-CBC-tilstandskryptering fra og med august 2023. 

I følgende afsnit beskrives det, hvordan du gennemtvinger AES128-ECB for de brugere, der bruger indstillinger i registreringsdatabasen og Gruppepolitik.

Du kan konfigurere Office og Microsoft 365 Apps til Windows til at bruge ECB- eller CBC-tilstand ved hjælp af indstillingen Krypteringstilstand for IRM (Information Rights Management) underConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. Som standard bruges CBC-tilstand fra og med version 16.0.16327 af Microsoft 365 Apps. 

Hvis du f.eks. vil gennemtvinge CBC-tilstand for Windows-klienter, skal du angive indstillingen for Gruppepolitik som følger: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Hvis du vil konfigurere indstillinger for Office til Mac klienter, skal du se Angiv indstillinger for hele pakken for Office til Mac.

Du kan finde flere oplysninger i afsnittet "AES256-CBC-understøttelse af Microsoft 365" i Tekniske referenceoplysninger om kryptering.