O Exchange não pode descriptografar mensagens IRM protegidas pelo Azure RMS depois que o MSIPC estiver habilitado

Sintomas 

Considere o seguinte cenário:

• Em Microsoft Exchange Server 2019 ou 2016, você habilita uma pilha MSIPC (Microsoft Proteção de Informações Client) seguindo as etapas fornecidas em Habilitar o suporte para conteúdo criptografado AES256-CBC em Exchange Server SU de agosto de 2023.

• Você recebe mensagens IRM protegidas por um modelo do RMS (Serviços de Gerenciamento de Direitos do Azure) que atribui permissões a "Todos os usuários e grupos em sua organização".

• Você usa o cliente do Outlook na Web (OWA) para acessar as mensagens protegidas.

Nesse cenário, você observa que Exchange Server não pode mais descriptografar as mensagens IRM.

Status  

A Microsoft confirmou que esse é um problema conhecido nos produtos listados na seção "Aplica-se" e está trabalhando em uma solução para resolvê-lo. 

Solução alternativa

Para contornar esse problema, use um dos seguintes métodos: 

• Use o cliente do Outlook em vez de OWA para acessar as mensagens protegidas pelo IRM.

• Crie um DDG (Grupo de Distribuição Dinâmica) que inclua todas as caixas de correio de usuário hospedadas no Exchange Server local. Para fazer isso, execute os seguintes cmdlets do PowerShell:

  1. Criar o allstaff DDG:
     
     New-DynamicDistributionGroup -PrimarySmtpAddress allstaff-7184ab3f-ccd1-46f3-8233-3e09e9cf0e66@contoso.onmicrosoft.com -IncludedRecipients Mailbox -RecipientContainer 'contoso.com'

  2. Ocultar o DDG e restringi-lo de receber email:
     
     Set-DynamicDistributionGroup -Name allstaff -HiddenFromAddressListsEnabled $true -AcceptMessagesOnlyFrom administrator@contoso.com

• Criar um DG (Grupo de Distribuição). Para fazer isso, execute os seguintes cmdlets do PowerShell: 

  1. Criar o DG:

     New-DistributionGroup -Nome da equipe -PrimarySmtpAddress allstaff-7184ab3f-ccd1-46f3-8233-3e09e9cf0e66@contoso.onmicrosoft.com

  2. Restrinja o DG de receber email:

     Set-DistributionGroup -Name allstaff -HiddenFromAddressListsEnabled $true -AcceptMessagesOnlyFrom administrator@contoso.com 

  3. Adicione todos os usuários que têm caixas de correio hospedadas em Exchange Server local: 

     Add-DistributionGroupMember -Equipe de identidade -Membro user01@contoso.com