Увімкнути підтримку зашифрованого вмісту AES256-CBC у Exchange Server серпня 2023 р. SU

Увімкнути підтримку режиму шифрування AES256-CBC у Exchange Server 

Су серпня 2023 р. для Exchange Server підтримує дешифрування зашифрованих повідомлень електронної пошти та вкладень у режимі AES256-CBC. Щоб увімкнути цю підтримку, виконайте такі дії: 

1. Інсталюйте СУ за серпень 2023 р. на всіх серверах Exchange 2019 і 2016.

2. Запустіть наведені нижче командлети на всіх серверах Exchange 2019 і 2016.

   Примітка.: Виконайте крок 2 на всіх серверах Exchange 2019 і 2016 у своєму середовищі, перш ніж перейти до кроку 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Примітка.:  -AclObject $acl ключ додається до реєстру під час інсталяції серпня SU. 

3. Якщо використовується AzRMS, з'єднувач AzRMS потрібно оновити на всіх серверах Exchange. Запустіть оновлений сценарій GenConnectorConfig.ps1 , щоб створити розділи реєстру, введені для підтримки режиму AES256-CBC в Exchange Server серпня 2023 SU та пізніших версій Exchange. Завантажте останній сценарій GenConnectorConfig.ps1 з Центру завантажень Microsoft.

   Докладні відомості про настроювання серверів Exchange для використання з'єднувача див. в статті Настроювання серверів для з'єднувача керування правами Microsoft.У статті описано конкретні зміни конфігурації для Exchange Server 2019 і Exchange Server 2016. 
   
   Докладні відомості про настроювання серверів для з'єднувача керування правами, зокрема про запуск і розгортання параметрів див. в статті Параметри реєстру для з'єднувача керування правами.

4. Якщо на комп'ютері інстальовано су серпня 2023 р., підтримується лише розшифрування зашифрованих повідомлень електронної пошти та вкладень AES-256 CBC в Exchange Server. Щоб увімкнути цю підтримку, виконайте таке перевизначення параметра:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   На додаток до змін, внесених у серпні 2023 SU, СУ за жовтень 2023 року додає підтримку для шифрування повідомлень електронної пошти та вкладень у режимі AES256-CBC. Якщо на комп'ютері інстальовано су за жовтень 2023 р., виконайте такі зміни:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Оновіть аргумент VariantConfiguration. Для цього запустіть такий командлет:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Щоб застосувати нові параметри, перезапустіть службу публікацій в Інтернеті та службу активації процесів Windows (WAS). Для цього запустіть такий командлет:
   
   Restart-Service -Name W3SVC, WAS -Force

Якщо використовується гібридне розгортання Exchange (поштові скриньки як локальні, так і Exchange Online) 

Організації, які використовують Exchange Server разом зі з'єднувачем служби Azure Rights Management (Azure RMS), автоматично вийдуть з оновлення режиму AES256-CBC в Exchange Online щонайменше до січня 2024 року. Однак якщо ви хочете використовувати безпечніший режим AES-256 CBC для шифрування повідомлень електронної пошти та вкладень у Exchange Online, а також дешифрувати такі повідомлення електронної пошти та вкладення в Exchange Server, виконайте ці кроки, щоб внести необхідні зміни до розгортання Exchange Server.  

Виконавши необхідні дії, відкрийте інцидент підтримки, а потім надішліть запит на оновлення параметра Exchange Online, щоб увімкнути режим AES256-CBC.  

Якщо ви використовуєте Програми Microsoft 365 з Exchange Server 

За замовчуванням усі програми M365, як-от Microsoft Outlook, Microsoft Word, Microsoft Excel і Microsoft PowerPoint, використовуватимуть шифрування режиму AES256-CBC, починаючи з серпня 2023 року. 

У наступному розділі описано, як змусити AES128-ЄЦБ для користувачів, які використовують параметри реєстру та Групова політика.

Ви можете настроїти Office і Програми Microsoft 365 для Windows на використання режиму ЄЦБ або CBC за допомогою параметра Шифрування для керування правами доступу до інформації (IRM) у розділіConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. За замовчуванням режим CBC використовується, починаючи з версії 16.0.16327 Програми Microsoft 365. 

Наприклад, щоб примусово застосувати режим CBC для клієнтів Windows, установіть параметр Групова політика таким чином: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Відомості про те, як налаштувати параметри для клієнтів Office для Mac, див. в статті Налаштування параметрів пакета Office для Mac.

Докладні відомості про шифрування див. в розділі "Підтримка AES256-CBC для Microsoft 365" технічної довідки.