Microsoft Exchange Server の 2023 年 8 月のセキュリティ更新プログラム以降、暗号ブロック チェーン モード (AES256-CBC) の AES256 が、Microsoft Purview Information Protection を使用するすべてのアプリケーションで既定の暗号化モードになります。 詳細については、「Microsoft Purview Information Protection での暗号化アルゴリズムの変更」を参照してください。
Exchange Server を使用していてハイブリッド Exchange 展開を使用している場合、または Microsoft 365 Apps を使用している場合は、このドキュメントは、中断がないように変更の準備に役立ちます。
2023 年 8 月のセキュリティ更新プログラム (SU) で導入された変更は、AES256-CBC で暗号化されたメール メッセージと添付ファイルの暗号化解除に役立ちます。 AES256-CBC モードで電子メール メッセージを暗号化するサポートは、2023 年 10 月の SU で追加されました。
Exchange Server で AES256-CBC モードの変更を実装する方法
Exchange Server の Information Rights Management (IRM) 機能を Active Directory Rights Management サービス (AD RMS) または Azure RMS (AzRMS) と共に使用している場合は、Exchange Server 2019 および Exchange Server を更新する必要があります2016 サーバーを 2023 年 8 月のセキュリティ更新プログラムにアップロードし、2023 年 8 月末までに次のセクションで説明する追加の手順を完了します。 8 月末までに Exchange Server を August 2023 SU に更新しないと、検索およびジャーナリング機能に影響が及びます。
organization で Exchange サーバーを更新するためにさらに時間が必要な場合は、この記事の残りの部分を読んで、変更の影響を軽減する方法を理解してください。
Exchange Server で AES256-CBC 暗号化モードのサポートを有効にする
Exchange Server の 2023 年 8 月の SU では、AES256-CBC モードで暗号化されたメール メッセージと添付ファイルの復号化がサポートされています。 このサポートを有効にするには、次の手順を実行します。
2023 年 8 月の SU をすべての Exchange 2019 および 2016 サーバーにインストールします。
すべての Exchange 2019 および 2016 サーバーで次のコマンドレットを実行します。
注
手順 3 に進む前に、環境内のすべての Exchange 2019 および 2016 サーバーで手順 2 を完了します。
$acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server"
$rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)
$acl.SetAccessRule($rule)
Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl注
-AclObject $acl キーは、August SU のインストール中にレジストリに追加されます。
AzRMS を使用している場合は、すべての Exchange サーバーで AzRMS コネクタを更新する必要があります。 更新された
GenConnectorConfig.ps1スクリプトを実行して、Exchange Server 2023 年 8 月の SU 以降の Exchange バージョンで AES256-CBC モードのサポート用に導入されたレジストリ キーを生成します。 Microsoft ダウンロード センターから最新のGenConnectorConfig.ps1スクリプトをダウンロードします。
コネクタを使用するように Exchange サーバーを構成する方法の詳細については、「Microsoft Rights Management コネクタ用にサーバーを構成する」を参照してください。 この記事では、Exchange Server 2019 および Exchange Server 2016 の特定の構成変更について説明します。実行方法や設定の展開方法など、Rights Management コネクタ用にサーバーを構成する方法の詳細については、「 Rights Management コネクタのレジストリ設定」を参照してください。
2023 年 8 月の SU がインストールされている場合、Exchange Server では AES-256 CBC で暗号化されたメール メッセージと添付ファイルの暗号化解除のみがサポートされます。 このサポートを有効にするには、次の設定オーバーライドを実行します。
New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”2023 年 8 月の SU で行われた変更に加えて、2023 年 10 月の SU では、AES256-CBC モードでメール メッセージと添付ファイルを暗号化するサポートが追加されました。 2023 年 10 月の SU がインストールされている場合は、次の設定のオーバーライドを実行します:
New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBCNovember 2024 SU 以降がインストールされている場合は、次の設定オーバーライドを実行します。
New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC
注
MSIPC は、November 2024 SU 以降から既定で有効になります。 詳細については、「Exchange Server 2019 および 2016 で既定で有効になっている MSIPC」を参照してください。
VariantConfiguration 引数を更新します。 これを行うには、以下のコマンドレットを実行します。
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh新しい設定を適用するには、World Wide Web Publishing サービスと Windows プロセス ライセンス認証サービス (WAS) を再起動します。 これを行うには、以下のコマンドレットを実行します。
Restart-Service -Name W3SVC, WAS -Force
注
設定オーバーライド コマンドレットが実行されている Exchange サーバーでのみ、これらのサービスを再起動します。
Exchange ハイブリッド展開 (オンプレミスと Exchange Online 両方のメールボックス) を使用している場合
Azure Rights Management サービス コネクタ (Azure RMS) と一緒に Exchange Server を使用する組織は、少なくとも 2024 年 1 月まで Exchange Online の AES256-CBC モード更新プログラムから自動的にオプトアウトされます。 ただし、より安全な AES-256 CBC モードを使用して Exchange Online で電子メール メッセージと添付ファイルを暗号化し、Exchange Server でそのような電子メール メッセージと添付ファイルを復号化する場合は、次の手順を実行して、Exchange Server の展開に必要な変更を加えます。
必要な手順を完了したら、サポート ケースを開き、AES256-CBC モードを有効にするように Exchange Online 設定の更新を要求します。
Exchange Server で Microsoft 365 Apps を使用している場合
既定では、2023 年 8 月から、Microsoft Outlook、Microsoft Word、Microsoft Excel、Microsoft PowerPoint などのすべての M365 アプリケーションで AES256-CBC モードの暗号化が使用されます。
重要
organization に Exchange Server 2023 年 8 月のセキュリティ更新プログラムをすべての Exchange サーバー (2019 および 2016) に適用できない場合、または 2023 年 8 月末までに Exchange Server インフラストラクチャ全体でコネクタ構成の変更を更新できない場合は、Microsoft 365 アプリケーションの AES256-CBC 変更をオプトアウトする必要があります。
次のセクションでは、レジストリ設定とグループ ポリシーを使用するユーザーに対して AES128-ECB を強制する方法について説明します。
Configuration/Administrative Templates/Microsoft Office 2016/Security Settings. の [Information Rights Management (IRM) の暗号化モード] 設定を使用して、ECB または CBC モードを使用するように Windows 用の Office と Microsoft 365 Apps を構成できます。既定では、CBC モードは Microsoft 365 Apps のバージョン 16.0.16327 以降使用されます。
たとえば、Windows クライアントで CBC モードを強制するには、次のようにグループ ポリシー設定を設定します。
Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]
Office for Mac クライアントの設定を構成するには、「Office for Mac のスイート全体の環境設定を設定する」を参照してください。
詳細については、「暗号化に関する技術リファレンスの詳細」の「Microsoft 365 の AES256-CBC サポート」セクションを参照してください。
既知の問題
- RMS SDK がインストールされている Exchange サーバーを更新しようとすると、2023 年 8 月の SU がインストールされません。 Exchange Server がインストールされている同じコンピューターに RMS SDK をインストールしないことをお勧めします。
- Email 2013 と共存する環境の Exchange Server 2019 および Exchange Server 2016 で AES256-CBC モードのサポートが有効になっている場合、Email の配信とジャーナリングが断続的に失敗します。 Exchange Server 2013 はサポート対象外です。 したがって、すべてのサーバーを Exchange Server 2019 または Exchange Server 2016 にアップグレードする必要があります。
CBC 暗号化が正しく構成されていないか更新されていない場合の現象
Set-IRMConfiguration内でTransportDecryptionSettingが必須 (既定では "省略可能) に設定され、Exchange サーバーとクライアントが更新されていない場合、AES256-CBC を使用して暗号化されたメッセージで配信不能レポート (NDR) と次のエラー メッセージが生成されることがあります。
注
リモート サーバーが '550 5.7.157 RmsDecryptAgent;Microsoft Exchange トランスポートで RMS でメッセージを復号化できません。
また、サーバーが更新されていない場合には、この設定によって暗号化、ジャーナリング、電子情報開示のトランスポート ルールに影響する問題が発生する可能性もあります。