Exchange Server August 2023 SU で AES256-CBC 暗号化コンテンツのサポートを有効化する

Exchange Serverでの AES256-CBC 暗号化モードのサポートを有効にする 

2023 年 8 月の su for Exchange Serverでは、AES256-CBC モードで暗号化された電子メール メッセージと添付ファイルの暗号化解除がサポートされています。 このサポートを有効にするには、次の手順に従います。 

1. すべての Exchange 2019 および 2016 サーバーに 2023 年 8 月の SU をインストールします。

2. すべての Exchange 2019 および 2016 サーバーで次のコマンドレットを実行します。

   注: 手順 3 に進む前に、環境内のすべての Exchange 2019 および 2016 サーバーで手順 2 を完了します。

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   注:  -AclObject $acl キーは、August SU のインストール中にレジストリに追加されます。 

3. AzRMS を使用している場合は、すべての Exchange サーバーで AzRMS コネクタを更新する必要があります。 更新された GenConnectorConfig.ps1 スクリプトを実行して、Exchange Server August 2023 SU 以降の Exchange バージョンで AES256-CBC モードのサポートに導入されたレジストリ キーを生成します。 Microsoft ダウンロード センターから最新の GenConnectorConfig.ps1 スクリプトをダウンロードします。

   コネクタを使用するように Exchange サーバーを構成する方法の詳細については、「Microsoft Rights Management コネクタのサーバーの構成」を参照してください。この記事では、Exchange Server 2019 および Exchange Server 2016 の特定の構成の変更について説明します。 
   
   Rights Management コネクタのサーバーを構成する方法 (実行方法や設定の展開方法など) の詳細については、「Rights Management Connector のレジストリ設定」を参照してください。

4. 2023 年 8 月の SU がインストールされている場合は、Exchange Serverで AES-256 CBC で暗号化された電子メール メッセージと添付ファイルの暗号化を解除することのみがサポートされます。 このサポートを有効にするには、次の設定のオーバーライドを実行します:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   2023 年 8 月の SU で行われた変更に加えて、2023 年 10 月の SU では、AES256-CBC モードで電子メール メッセージと添付ファイルを暗号化するためのサポートが追加されました。 2023 年 10 月の SU がインストールされている場合は、次の設定のオーバーライドを実行します。
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. VariantConfiguration 引数を更新します。 これを行うには、次のコマンドレットを実行します:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. 新しい設定を適用するには、World Wide Web Publishing サービスと Windows プロセス ライセンス認証サービス (WAS) を再起動します。 これを行うには、次のコマンドレットを実行します:
   
   Restart-Service -Name W3SVC, WAS -Force

Exchange ハイブリッド展開がある場合 (オンプレミスとExchange Onlineの両方のメールボックス) 

Exchange Serverを Azure Rights Management Service Connector (Azure RMS) と共に使用する組織は、少なくとも 2024 年 1 月まで、Exchange Onlineで AES256-CBC モード更新プログラムから自動的にオプトアウトされます。 ただし、より安全な AES-256 CBC モードを使用して、Exchange Onlineの電子メール メッセージと添付ファイルを暗号化し、Exchange Serverでこのような電子メール メッセージと添付ファイルを復号化する場合は、次の手順を実行して、Exchange Server展開に必要な変更を加えます。  

必要な手順を完了したら、サポート ケースを開き、AES256-CBC モードを有効にするためにExchange Online設定の更新を要求します。  

Exchange ServerでMicrosoft 365 Appsを使用している場合 

既定では、Microsoft Outlook、Microsoft Word、Microsoft Excel、Microsoft PowerPoint などの M365 アプリケーションはすべて、2023 年 8 月から AES256-CBC モード暗号化を使用します。 

次のセクションでは、レジストリ設定とグループ ポリシーを使用するユーザーに対して AES128-ECB を強制する方法について説明します。

[Configuration/Administrative Templates/Microsoft Office 2016/Security Settings.] の [Information Rights Management (IRM) の暗号化モード] 設定を使用して、Windows で ECB または CBC モードを使用するように Office とMicrosoft 365 Appsを構成できます。 既定では、Microsoft 365 Apps のバージョン 16.0.16327 以降では CBC モードが使用されます。 

たとえば、Windows クライアントの CBC モードを強制するには、グループ ポリシー設定を次のように設定します。 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Office for Mac クライアントの設定を構成するには、「Office for Macのスイート全体の基本設定を設定する」を参照してください。

詳細については、「暗号化に関するテクニカル リファレンスの詳細」の「AES256-CBC サポート for Microsoft 365」セクションを参照してください。