启用 MSIPC 后，Exchange 无法解密 Azure RMS 保护的 IRM 消息

症状 

请考虑以下情况：

• 在 Microsoft Exchange Server 2019 或 2016 中，按照在 2023 年 8 月 SU Exchange Server 中启用对 AES256-CBC 加密内容的支持中提供的步骤，启用 Microsoft 信息保护 客户端 (MSIPC) 堆栈。

• 你将收到受 Azure Rights Management Services (RMS) 模板保护的 IRM 消息，该模板将权限分配给“组织中的所有用户和组”。

• 使用 Outlook 网页版 (OWA) 客户端访问受保护的邮件。

在此方案中，你注意到Exchange Server无法再解密 IRM 消息。

状态  

Microsoft 已确认，这是“适用于”部分中列出的产品中的已知问题，并正在研究解决方案来解决该问题。 

解决方法

若要解决此问题，请使用以下某种方法： 

• 使用 Outlook 客户端而不是 OWA 访问受 IRM 保护的邮件。

• 创建动态通讯组 (DDG) ，其中包含本地Exchange Server托管的所有用户邮箱。 为此，请运行以下 PowerShell cmdlet：

  1. 创建 DDG：
     
     New-DynamicDistributionGroup allstaff -PrimarySmtpAddress allstaff-7184ab3f-ccd1-46f3-8233-3e09e9cf0e66@contoso.onmicrosoft.com -IncludedRecipients Mailbox -RecipientContainer 'contoso.com'

  2. 隐藏 DDG 并将其限制为接收电子邮件：
     
     Set-DynamicDistributionGroup -Name allstaff -HiddenFromAddressListsEnabled $true -AcceptMessagesOnlyFrom administrator@contoso.com

• (DG) 创建通讯组。 为此，请运行以下 PowerShell cmdlet： 

  1. 创建 DG：

     New-DistributionGroup -Name allstaff -PrimarySmtpAddress allstaff-7184ab3f-ccd1-46f3-8233-3e09e9cf0e66@contoso.onmicrosoft.com

  2. 限制 DG 接收电子邮件：

     Set-DistributionGroup -Name allstaff -HiddenFromAddressListsEnabled $true -AcceptMessagesOnlyFrom administrator@contoso.com 

  3. 添加本地Exchange Server托管邮箱的所有用户： 

     Add-DistributionGroupMember -Identity allstaff -Member user01@contoso.com