Aktivera stöd för AES256-CBC-krypterat innehåll i Exchange Server augusti 2023 SU

Aktivera stöd för AES256-CBC-krypteringsläge i Exchange Server 

Su för Exchange Server augusti 2023 stöder dekryptering av AES256-CBC-lägeskrypterade e-postmeddelanden och bifogade filer. Så här aktiverar du det här stödet: 

1. Installera SU för augusti 2023 på alla exchange 2019- och 2016-servrar.

2. Kör följande cmdletar på alla Exchange 2019- och 2016-servrar.

   Obs!: Slutför steg 2 på alla Exchange 2019- och 2016-servrar i din miljö innan du fortsätter med steg 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Obs!:  Nyckeln -AclObject $acl läggs till i registret under installationen av augusti-SU. 

3. Om du använder AzRMS måste AzRMS-kopplingen uppdateras på alla Exchange-servrar. Kör det uppdaterade GenConnectorConfig.ps1 -skriptet för att generera registernycklarna som införs för stöd för AES256-CBC-läge i den Exchange Server augusti 2023 SU och senare Exchange-versioner. Ladda ned det senaste GenConnectorConfig.ps1 skriptet från Microsoft Download Center.

   Mer information om hur du konfigurerar Exchange-servrar för anslutning finns i Konfigurera servrar för Microsoft Rights Management-anslutningen.I artikeln beskrivs specifika konfigurationsändringar för Exchange Server 2019 och Exchange Server 2016. 
   
   Mer information om hur du konfigurerar servrar för rättighetshanteringsanslutningen, inklusive hur du kör den och hur du distribuerar inställningarna, finns i Registerinställningar för Rights Management Connector.

4. Om du har su för augusti 2023 installerat finns det bara stöd för att dekryptera AES-256 CBC-krypterade e-postmeddelanden och bifogade filer i Exchange Server. Om du vill aktivera det här stödet kör du följande åsidosättningsinställning:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   Förutom de ändringar som gjordes i SU i augusti 2023 ger SU i oktober 2023 stöd för att kryptera e-postmeddelanden och bifogade filer i AES256-CBC-läge. Om du har installerat SU för oktober 2023 kör du följande åsidosättningar:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Uppdatera argumentet VariantConfiguration. Det gör du genom att köra följande cmdlet:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Om du vill använda de nya inställningarna startar du om Tjänsten World Wide Web Publishing och Windows Process Activation Service (WAS). Det gör du genom att köra följande cmdlet:
   
   Restart-Service -Name W3SVC, WAS -Force

Om du har Exchange-hybriddistribution (postlådor både lokalt och Exchange Online) 

Organisationer som använder Exchange Server tillsammans med Azure Rights Management Service Connector (Azure RMS) avregistreras automatiskt från AES256-CBC-lägesuppdateringen i Exchange Online fram till åtminstone januari 2024. Men om du vill använda det säkrare AES-256 CBC-läget för att kryptera e-postmeddelanden och bifogade filer i Exchange Online och dekryptera sådana e-postmeddelanden och bifogade filer i Exchange Server utför du de här stegen för att göra nödvändiga ändringar i Exchange Server distributionen.  

När du har slutfört de steg som krävs öppnar du ett supportärende och begär sedan att inställningen Exchange Online uppdateras för att aktivera AES256-CBC-läge.  

Om du använder Microsoft 365-applikationer med Exchange Server 

Som standard använder alla M365-program, till exempel Microsoft Outlook, Microsoft Word, Microsoft Excel och Microsoft PowerPoint, AES256-CBC-lägeskryptering från och med augusti 2023. 

I följande avsnitt beskrivs hur du tvingar AES128-ECB för de användare som använder registerinställningar och grupprincip.

Du kan konfigurera Office och Microsoft 365-applikationer för Windows att använda ECB- eller CBC-läge genom att använda krypteringsläget för IRM-inställningen (Information Rights Management) underConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. Som standard används CBC-läge med början i version 16.0.16327 av Microsoft 365-applikationer. 

Om du till exempel vill tvinga fram CBC-läge för Windows-klienter anger du inställningen grupprincip enligt följande: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Information om hur du konfigurerar inställningar för Office för Mac klienter finns i Ange inställningar för hela programsviten för Office för Mac.

Mer information finns i avsnittet "AES256-CBC-stöd för Microsoft 365" i Teknisk referensinformation om kryptering.