Ondersteuning inschakelen voor met AES256-CBC versleutelde inhoud in Exchange Server augustus 2023 SU

Ondersteuning inschakelen voor de AES256-CBC-modus van versleuteling in Exchange Server 

De SU van augustus 2023 voor Exchange Server ondersteunt de ontsleuteling van e-mailberichten en bijlagen met AES256-CBC-modus. Voer de volgende stappen uit om deze ondersteuning in te schakelen: 

1. Installeer de SU van augustus 2023 op al uw Exchange 2019- en 2016-servers.

2. Voer de volgende cmdlets uit op alle Exchange 2019- en 2016-servers.

   Opmerking: Voltooi stap 2 op alle Exchange 2019- en 2016-servers in uw omgeving voordat u verdergaat met stap 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Opmerking: De sleutel -AclObject $acl wordt toegevoegd aan het register tijdens de installatie van de SU van augustus. 

3. Als u AzRMS gebruikt, moet de AzRMS-connector worden bijgewerkt op alle Exchange-servers. Voer het bijgewerkte GenConnectorConfig.ps1 -script uit om de registersleutels te genereren die zijn geïntroduceerd voor de ondersteuning van de AES256-CBC-modus in de Exchange Server su van augustus 2023 en latere Exchange-versies. Download het meest recente GenConnectorConfig.ps1 script in het Microsoft Downloadcentrum.

   Zie Servers configureren voor de Microsoft Rights Management-connector voor meer informatie over het configureren van Exchange-servers voor het gebruik van de connector.In het artikel worden specifieke configuratiewijzigingen voor Exchange Server 2019 en Exchange Server 2016 besproken. 
   
   Zie Registerinstellingen voor de Rights Management Connector voor meer informatie over het configureren van servers voor de Rights Management-connector, met inbegrip van hoe u deze uitvoert en hoe u de instellingen implementeert.

4. Als u de SU van augustus 2023 hebt geïnstalleerd, is er alleen ondersteuning voor het ontsleutelen van met AES-256 CBC versleutelde e-mailberichten en bijlagen in Exchange Server. Voer de volgende instelling overschrijven uit om deze ondersteuning in te schakelen:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   Naast de wijzigingen die zijn aangebracht in de SU van augustus 2023, voegt de SU van oktober 2023 ondersteuning toe voor het versleutelen van e-mailberichten en bijlagen in de AES256-CBC-modus. Als u de SU van oktober 2023 hebt geïnstalleerd, voert u de volgende instellingsoverschrijvingen uit:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Vernieuw het argument VariantConfiguration. Voer hiervoor de volgende cmdlet uit:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Als u de nieuwe instellingen wilt toepassen, start u de World Wide Web Publishing-service en de Windows Process Activation Service (WAS) opnieuw. Voer hiervoor de volgende cmdlet uit:
   
   Restart-Service -Name W3SVC, WAS -Force

Als u een hybride implementatie van Exchange hebt (postvakken in zowel on-premises als Exchange Online) 

Organisaties die Exchange Server samen met de Azure Rights Management Service Connector (Azure RMS) gebruiken, worden automatisch afgemeld voor de AES256-CBC-modusupdate in Exchange Online tot ten minste januari 2024. Als u echter de veiligere AES-256 CBC-modus wilt gebruiken om e-mailberichten en bijlagen in Exchange Online te versleutelen en dergelijke e-mailberichten en bijlagen in Exchange Server te ontsleutelen, voert u deze stappen uit om de benodigde wijzigingen aan te brengen in uw Exchange Server-implementatie.  

Nadat u de vereiste stappen hebt voltooid, opent u een ondersteuningsaanvraag en vraagt u de instelling Exchange Online bij te werken om de AES256-CBC-modus in te schakelen.  

Als u Microsoft 365-apps gebruikt met Exchange Server 

Standaard gebruiken al uw M365-toepassingen, zoals Microsoft Outlook, Microsoft Word, Microsoft Excel en Microsoft PowerPoint, vanaf augustus 2023 AES256-CBC-modusversleuteling. 

In de volgende sectie wordt beschreven hoe u AES128-ECB afdwingen voor gebruikers die registerinstellingen gebruiken en groepsbeleid.

U kunt Office en Microsoft 365-apps voor Windows configureren voor het gebruik van de ECB- of CBC-modus met behulp van de instelling Versleutelingsmodus voor Information Rights Management (IRM) onderConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. Standaard wordt de CBC-modus gebruikt vanaf versie 16.0.16327 van Microsoft 365-apps. 

Als u bijvoorbeeld de CBC-modus wilt afdwingen voor Windows-clients, stelt u de instelling groepsbeleid als volgt in: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Zie Voorkeuren voor Office voor Mac instellen voor Office voor Mac als u instellingen voor Office voor Mac clients wilt configureren.

Zie de sectie 'AES256-CBC-ondersteuning voor Microsoft 365' van Technische naslaginformatie over versleuteling voor meer informatie.