Exchange kann irm-Nachrichten, die durch Azure RMS geschützt sind, nicht entschlüsseln, nachdem MSIPC aktiviert wurde

Symptome 

Stellen Sie sich folgendes Szenario vor:

• In Microsoft Exchange Server 2019 oder 2016 aktivieren Sie einen MsiPC-Stapel (Microsoft Information Protection Client), indem Sie die Schritte unter Aktivieren der Unterstützung für AES256-CBC-verschlüsselte Inhalte in Exchange Server August 2023 SU ausführen.

• Sie erhalten IRM-Nachrichten, die durch eine RMS-Vorlage (Azure Rights Management Services) geschützt sind, die Berechtigungen für "Alle Benutzer und Gruppen in Ihrem organization" zuweist.

• Sie verwenden den OWA-Client (Outlook im Web), um auf die geschützten Nachrichten zuzugreifen.

In diesem Szenario stellen Sie fest, dass Exchange Server die IRM-Nachrichten nicht mehr entschlüsseln können.

Status  

Microsoft hat bestätigt, dass dies ein bekanntes Problem in den Produkten ist, die im Abschnitt "Gilt für" aufgeführt sind, und arbeitet an einer Lösung, um dieses Problem zu beheben. 

Problemumgehung

Wenden Sie eine der folgenden Methoden an, um dieses Problem zu umgehen: 

• Verwenden Sie den Outlook-Client anstelle von OWA, um auf die IRM-geschützten Nachrichten zuzugreifen.

• Erstellen Sie eine dynamische Verteilergruppe (Dynamic Distribution Group, DDG), die alle Benutzerpostfächer enthält, die auf Exchange Server lokal gehostet werden. Führen Sie dazu die folgenden PowerShell-Cmdlets aus:

  1. Erstellen Sie DDG:
     
     New-DynamicDistributionGroup allstaff -PrimarySmtpAddress allstaff-7184ab3f-ccd1-46f3-8233-3e09e9cf0e66@contoso.onmicrosoft.com -IncludedRecipients Mailbox -RecipientContainer 'contoso.com'

  2. Ausblenden der DDG und Einschränken des E-Mail-Empfangs: Set-DynamicDistributionGroup -Name allstaff -HiddenFromAddressListsEnabled $true -AcceptMessagesOnlyFrom administrator@contoso.com
     
     

• Erstellen Sie eine Verteilergruppe (DG). Führen Sie dazu die folgenden PowerShell-Cmdlets aus: 

  1. Erstellen Sie die GD:

     New-DistributionGroup -Name allstaff -PrimarySmtpAddress allstaff-7184ab3f-ccd1-46f3-8233-3e09e9cf0e66@contoso.onmicrosoft.com

  2. Schränken Sie den Empfang von E-Mails durch die GD ein:

     Set-DistributionGroup -Name allstaff -HiddenFromAddressListsEnabled $true -AcceptMessagesOnlyFrom administrator@contoso.com 

  3. Fügen Sie alle Benutzer hinzu, die über Postfächer verfügen, die lokal Exchange Server gehostet werden: 

     Add-DistributionGroupMember -Identity allstaff -Member user01@contoso.com