关于Exchange Online/O365中不强制TLS 1.2时使用OME加密全量收发邮件的方案咨询

完全理解你不想强制启用TLS 1.2的顾虑——毕竟涉及核心业务邮件的收发稳定性，贸然一刀切确实风险不小。针对你想用Office 365邮件加密（OME）来覆盖所有收发邮件、替代TLS加密的需求，我分享几个实际可行的方案和注意点：

一、配置全组织范围的OME自动加密规则 #

这是最直接实现全量加密的方式，你可以通过Exchange管理中心（EAC）或者PowerShell来创建规则：

• EAC操作路径：进入邮件流 > 规则 > 新建规则，选择“应用Office 365邮件加密和权限保护”，然后设置规则条件为“所有发送的邮件”和“所有接收的邮件”，确保覆盖内外部所有邮件。
• PowerShell命令示例：

  New-TransportRule -Name "全量收发邮件OME加密" -SentToScope "All" -ApplyOMEEncryption $true
  

  注意调整规则优先级，避免和已有的其他加密规则冲突，保证这条全量加密规则优先执行。

二、OME加密兼容性验证 #

虽然OME支持多种解密方式（网页门户查看、加密附件下载等），但还是要提前和关键业务伙伴的邮件系统做兼容性测试：

• 发送测试邮件到不同合作域，确认对方能正常解密查看内容，避免因兼容性问题导致业务邮件受阻。
• 对于少数不兼容OME的旧系统，可以考虑给特定域添加规则例外，同时单独沟通替代加密方案，尽量平衡全量加密目标和业务连续性。

三、TLS优先+OME兜底的折中方案 #

如果不想完全放弃TLS的优势，又担心强制TLS 1.2影响部分邮件，可以配置“TLS协商失败时自动触发OME”的规则：

• PowerShell命令示例：

  New-TransportRule -Name "TLS失败自动转OME加密" -SentToScope "NotInOrganization" -RequireTLS $true -ApplyOMEEncryption $true -ExceptIfTLSnegotiationSuccessful $false
  

  这条规则会优先尝试用TLS加密外部邮件，当TLS协商失败时自动切换为OME加密，既保留了TLS的高效性，又用OME做了安全兜底。

额外注意事项 #

• 内部用户在Outlook客户端或网页版查看OME加密邮件时，无需额外验证身份，体验和普通邮件一致；外部用户可能需要通过微软加密门户验证邮箱（比如接收验证码），建议提前告知业务伙伴这个流程。
• 定期在Exchange管理中心的邮件流规则报告里监控规则执行情况，查看触发OME加密的邮件数量、有没有失败案例，及时调整规则细节。

备注：内容来源于stack exchange，提问作者Mathias Rønnow Nørtoft