在 Exchange Server 2023 年 8 月 SU 中启用对 AES256-CBC 加密内容的支持

在 Exchange Server 中启用对 AES256-CBC 加密模式的支持 

适用于 Exchange Server 的 2023 年 8 月 SU 支持对 AES256-CBC 模式加密的电子邮件和附件进行解密。 若要启用此支持，请执行以下步骤： 

1. 在所有 Exchange 2019 和 2016 服务器上安装 2023 年 8 月 SU。

2. 在所有 Exchange 2019 和 2016 服务器上运行以下 cmdlet。

   注意: 在继续执行步骤 3 之前，请在环境中的所有 Exchange 2019 和 2016 服务器上完成步骤 2。

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   注意:  -AclObject $acl键在安装 8 月 SU 期间添加到注册表。 

3. 如果使用 AzRMS，则必须在所有 Exchange 服务器上更新 AzRMS 连接器。 运行更新的 GenConnectorConfig.ps1 脚本以生成为 2023 年 8 月 SU 及更高版本的 Exchange Server AES256-CBC 模式支持引入的注册表项。 从 Microsoft 下载中心下载最新的 GenConnectorConfig.ps1 脚本。

   有关如何将 Exchange 服务器配置为使用连接器的详细信息，请参阅为 Microsoft Rights Management 连接器配置服务器。本文讨论 2019 Exchange Server 2019 和 Exchange Server 2016 的特定配置更改。 
   
   有关如何为 Rights Management 连接器配置服务器的详细信息，包括如何运行它以及如何部署设置，请参阅 Rights Management 连接器的注册表设置。

4. 如果已安装 2023 年 8 月 SU，则仅支持解密 Exchange Server 中的 AES-256 CBC 加密电子邮件和附件。 若要启用此支持，请运行以下设置替代：
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   除了在 2023 年 8 月 SU 中所做的更改外，2023 年 10 月 SU 还添加了对 AES256-CBC 模式下的电子邮件和附件加密的支持。 如果已安装 2023 年 10 月 SU，请运行以下设置替代：
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. 刷新 VariantConfiguration 参数。 为此，请运行以下 cmdlet：
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. 要应用新设置，请重启万维网发布服务和 Windows 进程激活服务 (WAS)。 若要执行此操作，请运行以下cmdlet：
   
   Restart-Service -Name W3SVC, WAS -Force

如果 Exchange 混合部署 (本地和 Exchange Online)  

将 Exchange Server 与 Azure Rights Management Service Connector (Azure RMS) 结合使用的组织将在 Exchange Online 自动选择退出 AES256-CBC 模式更新，至少在 2024 年 1 月之前。 但是，如果要使用更安全的 AES-256 CBC 模式来加密Exchange Online中的电子邮件和附件，并在 Exchange Server 中解密此类电子邮件和附件，请完成这些步骤以对Exchange Server部署进行必要的更改。  

完成所需步骤后，打开支持案例，然后请求更新Exchange Online设置以启用 AES256-CBC 模式。  

如果将 Microsoft 365 应用版 与 Exchange Server 

默认情况下，所有 M365 应用程序（如 Microsoft Outlook、Microsoft Word、Microsoft Excel 和 Microsoft PowerPoint）将从 2023 年 8 月开始使用 AES256-CBC 模式加密。 

以下部分介绍如何为使用注册表设置和组策略的用户强制使用 AES128-ECB。

可以使用“信息权限管理 (IRM) 加密模式”设置，将 Office 和 Microsoft 365 应用版 for Windows 配置为使用 ECB 或 CBC 模式Configuration/Administrative Templates/Microsoft Office 2016/Security Settings. 默认情况下，从 Microsoft 365 应用版 版本 16.0.16327 开始使用 CBC 模式。 

例如，若要强制使用 Windows 客户端的 CBC 模式，请设置组策略设置，如下所示： 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

若要配置Office for Mac客户端的设置，请参阅为Office for Mac设置套件范围的首选项。

有关详细信息，请参阅有关加密的技术参考详细信息的“Microsoft 365 的 AES256-CBC 支持”部分。