certpdef.dll 的核心功能与缺失影响

certpdef.dll 是 Microsoft Windows 证书服务（Active Directory 证书服务，AD CS）自带的默认证书策略模块（Certificate Policy Module）动态链接库，通常位于 %SystemRoot%\System32\ 目录下。它在证书颁发机构（CA）的签发流程中承担“策略裁决”职责，由 CA 服务 CertSvc.exe 在启动时以 COM 进程内组件的方式加载。

一、核心功能

• 策略模块加载与接口实现：导出并注册为默认策略模块，实现 ICertPolicy / ICertPolicy2 等 COM 接口，供 CA 服务调用。
• 申请审核与策略裁决：对通过 CertEnroll、CertCli 或 RPC/DCOM 提交的证书申请进行校验，判断请求者是否满足 CA 安全描述符与权限要求。
• 扩展与属性填充：为待颁发证书写入默认扩展信息，例如密钥用法（Key Usage）、使用者可选名称、证书模板标识等。
• 有效期计算：依据 CA 配置与证书模板设定的有效期，生成证书的 NotBefore / NotAfter 时间。
• 处置结果返回：以 CR_DISP_ISSUED、CR_DISP_DENIED、CR_DISP_ISSUED_OUT_OF_BAND 等处置码反馈裁决结果，并写入 CA 数据库。
• 配置读取：从注册表 CertSvc\Configuration 分支读取策略模块相关参数与策略开关。

二、缺失（丢失、损坏或未注册）的典型影响

• CA 服务无法启动：CertSvc 加载策略模块失败，事件日志出现模块找不到类错误（如 0x8007007E），CA 整体不可用。
• 证书签发链中断：新申请无法被批准或拒绝，请求积压在挂起队列，无法生成新证书。
• 依赖证书的业务受阻：HTTPS/TLS、IPsec、VPN、802.1X、LDAP over SSL、智能卡登录、域控制器与 Web 服务器证书等新签发场景失败。
• 自动注册异常：Autoenrollment 与组策略证书分发报错，客户端反复重试并产生大量事件日志。
• 运维与审计异常：证书颁发机构管理控制台（certsrv.msc）报错，吊销、续订与模板管理流程受阻。

需要说明的是，该 DLL 仅参与“签发侧”的策略处理，已颁发证书的验签、证书链构建与吊销检查并不依赖它，因此历史证书在有效期内通常仍可正常使用；但若长期缺失，PKI 的证书更新与续订能力会逐步失效。修复时可通过系统文件检查（sfc /scannow）、DISM 修复系统映像，或从同版本系统复制该文件并按需重新注册以恢复。