AES256-CBC-krüptitud sisu toe lubamine Exchange Server augustis 2023 SU

AES256-CBC krüptimisrežiimi toe lubamine Exchange Server 

2023. aasta augusti Exchange Server su toetab AES256-CBC režiimis krüptitud meilisõnumite ja manuste dekrüptimist. Selle toe lubamiseks tehke järgmist. 

1. Installige 2023. aasta augusti SU kõigis oma Exchange 2019 ja 2016 serverites.

2. Käivitage järgmised cmdlet-käsud kõigis Exchange 2019 ja 2016 serverites.

   Märkus.: Enne 3. toiminguga jätkamist täitke 2. juhis kõigis teie keskkonna Exchange 2019 ja 2016 serverites.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Märkus.: August SU installimise ajal lisatakse registrisse võti -AclObject $acl. 

3. Kui kasutate AzRMS-i, tuleb AzRMS-i konnektor värskendada kõigis Exchange'i serverites. Käivitage värskendatud GenConnectorConfig.ps1 skript, et luua registrivõtmed, mis võeti kasutusele AES256-CBC režiimi toe jaoks Exchange Server augustis 2023 SU ja uuemates Exchange'i versioonides. Laadige Microsofti allalaadimiskeskusest alla uusim GenConnectorConfig.ps1 skript.

   Lisateavet selle kohta, kuidas konfigureerida Exchange'i servereid konnektori kasutamiseks, leiate teemast Serverite konfigureerimine Microsofti õiguste halduse konnektori jaoks.Artiklis käsitletakse konkreetseid konfiguratsioonimuudatusi Exchange Server 2019 ja Exchange Server 2016 jaoks. 
   
   Lisateavet õiguste halduse konnektori serverite konfigureerimise (sh selle käivitamise ja sätete juurutamise) kohta leiate teemast Õiguste halduse konnektori registrisätted.

4. Kui teil on installitud august 2023 SU, toetatakse ainult AES-256 CBC-krüptitud meilisõnumite ja manuste dekrüptimist Exchange Server. Selle toe lubamiseks käivitage järgmine sätte alistamine:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   Lisaks 2023. aasta augustis TEHTUD muudatustele lisab 2023. aasta oktoobri SU meilisõnumite ja manuste krüptimise toe AES256-CBC režiimis. Kui teil on installitud 2023. aasta oktoobri SU, käivitage järgmine säte:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Värskendage argumenti VariantConfiguration. Selleks käivitage järgmine cmdlet-käsk:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Uute sätete rakendamiseks taaskäivitage veebis avaldamise teenus ja Windowsi protsesside aktiveerimise teenus (WAS). Selleks käivitage järgmine cmdlet-käsk:
   
   Restart-Service -Name W3SVC, WAS -Force

Kui teil on Exchange'i hübriidjuurutus (postkastid nii kohapealses kui ka Exchange Online) 

Asutused, mis kasutavad Exchange Server koos Azure Rights Management Service Connectoriga (Azure RMS), loobutakse automaatselt AES256-CBC režiimi värskendusest Exchange Online vähemalt jaanuarini 2024. Kui soovite siiski kasutada turvalisemat AES-256 CBC-režiimi Exchange Online meilisõnumite ja manuste krüptimiseks ning selliste meilisõnumite ja manuste dekrüptimiseks Exchange Server, tehke Exchange Server juurutamiseks vajalikud muudatused.  

Pärast nõutavate juhiste täitmist avage tugiteenuse juhtum ja taotlege seejärel AES256-CBC-režiimi lubamiseks Exchange Online sätte värskendamist.  

Kui kasutate Microsoft 365 rakendused koos Exchange Server 

Vaikimisi kasutavad kõik M365 rakendused (nt Microsoft Outlook, Microsoft Word, Microsoft Excel ja Microsoft PowerPoint) AES256-CBC-režiimi krüptimist alates augustist 2023. 

Järgmises jaotises kirjeldatakse, kuidas jõustada AES128-ECB registrisätteid ja Rühmapoliitika kasutavate kasutajate jaoks.

Office'i ja Microsoft 365 rakendused Windowsi jaoks saate konfigureerida ekp- või CBC-režiimi kasutamiseks teabeõiguste halduse (IRM) sättega jaotisesConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. Vaikimisi kasutatakse CBC-režiimi alates Microsoft 365 rakendused versioonist 16.0.16327. 

Näiteks CBC-režiimi jõustamiseks Windowsi klientrakendustes määrake Rühmapoliitika säte järgmiselt. 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Office for Maci klientrakenduste sätete konfigureerimise kohta leiate teavet teemast Kogu komplekti hõlmavate eelistuste määramine Office for Maci jaoks.

Lisateavet leiate krüptimise tehnilise viite jaotisest "AES256-CBC tugi Microsoft 365 jaoks".