Exchange kan inte dekryptera IRM-meddelanden som skyddas av Azure RMS när MSIPC har aktiverats

Symtom

Tänk på följande scenario:

I Microsoft Exchange Server 2019 eller 2016 aktiverar du en Microsoft Information Protection Client-stack (MSIPC) genom att följa stegen i Aktivera stöd för AES256-CBC-krypterat innehåll i Exchange Server augusti 2023 SU.
Du får IRM-meddelanden som skyddas av en RMS-mall (Azure Rights Management Services) som tilldelar behörigheter till "Alla användare och grupper i organisationen".
Du använder Outlook på webben -klienten (OWA) för att komma åt de skyddade meddelandena.

I det här scenariot märker du att Exchange Server inte längre kan dekryptera IRM-meddelanden.

Microsoft har bekräftat att detta är ett känt problem i de produkter som anges i avsnittet "Gäller" och arbetar på en lösning för att åtgärda det.

Du kan komma runt det här problemet genom att använda någon av följande metoder:

Använd Outlook-klienten i stället för OWA för att komma åt IRM-skyddade meddelanden.
Skapa en DDG (Dynamic Distribution Group) som innehåller alla användarpostlådor som finns på Exchange Server lokalt. Det gör du genom att köra följande PowerShell-cmdletar:
1. Skapa DDG:New-DynamicDistributionGroup allstaff -PrimarySmtpAddress allstaff-7184ab3f-ccd1-46f3-8233-3e09e9cf0e66@contoso.onmicrosoft.com -IncludedRecipients Mailbox -RecipientContainer 'contoso.com'
2. Dölj DDG och begränsa det från att ta emot e-post: Set-DynamicDistributionGroup -Name allstaff -HiddenFromAddressListsEnabled $true -AcceptMessagesOnlyFrom administrator@contoso.com
Skapa en distributionsgrupp (DG). Det gör du genom att köra följande PowerShell-cmdletar:
1. Skapa DG:
  
  New-DistributionGroup -Name allstaff -PrimarySmtpAddress allstaff-7184ab3f-ccd1-46f3-8233-3e09e9cf0e66@contoso.onmicrosoft.com
2. Begränsa GD från att ta emot e-post:
  
  Set-DistributionGroup -Name allstaff -HiddenFromAddressListsEnabled $true -AcceptMessagesOnlyFrom administrator@contoso.com
3. Lägg till alla användare som har postlådor som finns lokalt Exchange Server:
  
  Add-DistributionGroupMember -Identity allstaff -Member user01@contoso.com