OpoSERGASEl tema 33 de la parte específica del programa de Técnico Especialista de Sistemas y TI (C1) dice «Sistema operativo UNIX-LINUX. Sistema operativo Windows» (anexo II del DOG núm. 126 de 5/07/2021, al que remite el DOG núm. 141 de 24/07/2025). En OpoSERGAS la mitad de Windows es nuestro tema 13: Active Directory, GPO, DNS/DHCP y PowerShell. Aquí no repetimos el temario; resolvemos las confusiones que más fallos provocan: qué es y qué no es Server Core, cómo se combinan los permisos NTFS y de recurso compartido, qué repara cada herramienta de integridad y qué cmdlet sustituye a cuál.
Cómo cae este tema en el examen
Nuestro banco tiene más de 60 preguntas de este tema y 4 preguntas de exámenes oficiales clasificadas en él: 3 de «OPE 2025 · Específica (resp. provisionales)» y 1 de «OPE 2025 · Específica (Reserva) (resp. provisionales)». «Resp. provisionales» significa que la respuesta usada procede de una plantilla provisional, no de la definitiva.
De las más de 500 respuestas registradas en OpoSERGAS en este tema hasta el 5 de noviembre de 2026, el 23,3 % fueron fallos. Las oficiales clasificadas tratan qué implementa Active Directory (LDAP, Kerberos y DNS), qué es una GPO, la ventaja de la virtualización de escritorios (VDI) y el uso de sfc /scannow. Son preguntas de definición y de comando, así que el vocabulario exacto importa.
¿Server Core es una edición de Windows Server?
No: es una opción de instalación. Microsoft la describe como una instalación mínima disponible al desplegar la edición Standard o Datacenter. Por eso, si una pregunta pide elegir una edición, Server Core puede aparecer como distractor junto a Standard y Datacenter: la trampa es mezclar edición y opción de instalación.
Un servidor Core se administra en remoto, desde la línea de comandos o con PowerShell, y al tener menos código ocupa menos disco y ofrece menor superficie de ataque. La contrapartida es que no tiene escritorio.
¿Qué pasa cuando chocan permisos NTFS y de recurso compartido?
Gana el más restrictivo. Microsoft explica que los permisos de carpeta compartida y los NTFS son independientes: ninguno modifica al otro, y el acceso final se determina considerando ambos y aplicando el más limitante. Un usuario con Control total en NTFS pero Lectura en el recurso compartido solo podrá leer a través de la red.
Dentro de NTFS hay otra regla que cae en test: el orden de las entradas de control de acceso. Las explícitas van antes que las heredadas y, dentro de cada grupo, las de denegar antes que las de permitir. Una denegación heredada no impide el acceso si existe una entrada explícita que permite.
| Situación | Resultado |
|---|---|
| Recurso compartido: Lectura. NTFS: Control total | Solo lectura por red (prevalece el más restrictivo) |
| Recurso compartido: Control total. NTFS: Lectura | Solo lectura (prevalece el más restrictivo) |
| Entrada explícita Permitir y entrada heredada Denegar | Se permite: las explícitas pesan más que las heredadas |
| Entrada explícita Denegar y entrada explícita Permitir | Se deniega: Denegar se evalúa antes dentro del mismo grupo |
¿sfc, DISM o chkdsk: cuál uso?
Depende de qué está dañado. sfc /scannow analiza la integridad de todos los archivos protegidos del sistema y repara los que puede; con /verifyonly solo analiza y no repara. DISM con /Cleanup-Image permite una comprobación más amplia, que puede reparar problemas del almacén de componentes. chkdsk revisa el sistema de archivos del volumen, no los archivos protegidos de Windows.
Microsoft lo resume así: sfc /scannow para una comprobación rápida y DISM /Cleanup-Image para una más amplia que puede reparar el almacén. En test, la opción «sfc repara el disco físico» es falsa.
¿En qué se diferencia PowerShell de bash?
En que PowerShell no pasa texto sino objetos .NET. La documentación de Microsoft explica que todas las entradas y salidas son objetos .NET, así que no hace falta analizar texto para extraer datos. Los cmdlets siguen el patrón Verbo-Sustantivo (Get-Service, Set-ADUser) y se encadenan con la tubería.
Para cuentas y grupos de dominio se usa el módulo ActiveDirectory, con cmdlets como Get-ADUser. Y para registros de eventos, la documentación señala que Get-EventLog usa una API de Win32 obsoleta y que debe usarse Get-WinEvent.
¿gpupdate es un cmdlet?
No, es un ejecutable de línea de comandos. Con gpupdate /force se reaplican todas las directivas; por defecto solo se aplican las cambiadas. El cmdlet de PowerShell es Invoke-GPUpdate, que programa el refresco de directivas, incluso en equipos remotos. Qué es una GPO, su orden de aplicación y el bloqueo de herencia ya están en la guía de GPO y directivas de grupo.
¿Qué rol de Windows Server resuelve cada necesidad?
Esta es una tabla de asociación que sirve para descartar distractores. Active Directory Domain Services (AD DS) almacena información de objetos como cuentas de usuario y la pone a disposición de usuarios autorizados; sus conceptos clave están en Active Directory para oposiciones.
| Necesidad | Rol o herramienta | Nota |
|---|---|---|
| Directorio de usuarios, equipos y grupos | AD DS | Autenticación y autorización centralizadas |
| Políticas de acceso a la red y RADIUS | Network Policy Server (NPS) | Autentica y autoriza conexiones; también puede actuar como proxy RADIUS |
| Distribuir actualizaciones en la organización | WSUS | Está obsoleto y no recibe funciones nuevas, pero sigue con soporte y recibe actualizaciones de seguridad y calidad |
| Direcciones IP automáticas | DHCP | Un agente de retransmisión evita tener un servidor DHCP en cada subred |
| Resolución de nombres | DNS | Los tipos de registro y puertos están en la guía de DNS y DHCP |
El detalle de DHCP y DNS lo cubre la guía de DNS, DHCP y correo.
Truco para recordarlo
Una regla propia, no una sigla oficial: en permisos, el candado más pequeño manda. Si hay dos permisos que chocan (recurso compartido y NTFS), se queda el más restrictivo. Para el orden de las entradas, recuerda «explícito antes que heredado y no antes que sí». Para PowerShell, repite «verbo, sustantivo y objetos».
Tres preguntas de práctica
Ejemplos redactados para esta página; no son preguntas oficiales.
Pregunta 1. Un grupo tiene Modificar en NTFS y Lectura en el recurso compartido. ¿Qué podrá hacer por la red? A) Modificar. B) Leer. C) Nada. D) Control total.
Respuesta: B. Se aplica el permiso más restrictivo de ambos. La A confunde la suma con el máximo, la C supone una denegación que no existe y la D no corresponde a ninguno de los dos.
Pregunta 2. ¿Qué comando analiza los archivos protegidos del sistema y repara los dañados cuando puede? A) chkdsk. B) gpupdate /force. C) sfc /scannow. D) Get-EventLog.
Respuesta: C. chkdsk revisa el volumen, gpupdate refresca directivas de grupo y Get-EventLog lee registros de eventos.
Pregunta 3. ¿Cuál de estas afirmaciones sobre Server Core es correcta? A) Es una edición distinta de Standard y Datacenter. B) Es una opción de instalación mínima de las ediciones Standard o Datacenter. C) Solo existe para Datacenter. D) Incluye el escritorio completo.
Respuesta: B. No es una edición, de modo que la A es falsa. La C y la D contradicen su definición.
Preguntas frecuentes
¿Server Core es una edición de Windows Server?
No. Es una opción de instalación mínima disponible al desplegar las ediciones Standard o Datacenter de Windows Server, según la documentación de Microsoft. La edición y la opción de instalación son dos decisiones distintas.
¿Qué permiso gana si el recurso compartido y NTFS no coinciden?
El más restrictivo. Los permisos del recurso compartido y los NTFS son independientes, y el acceso final resulta de aplicar ambos, de modo que prevalece el más limitante.
¿Para qué sirve sfc /scannow y en qué se diferencia de DISM?
sfc /scannow comprueba la integridad de los archivos protegidos del sistema y repara los que puede. DISM /Cleanup-Image se usa cuando hace falta una reparación más amplia, por ejemplo del almacén de componentes.
¿Es gpupdate un cmdlet de PowerShell?
No, es un ejecutable. El cmdlet equivalente para refrescar la directiva de grupo en equipos remotos es Invoke-GPUpdate. Con gpupdate /force se reaplican todas las directivas y no solo las modificadas.
¿Qué debo usar en lugar de Get-EventLog?
Get-WinEvent. La documentación de Microsoft indica que Get-EventLog usa una API de Win32 obsoleta y recomienda Get-WinEvent.
Referencias
- Programa de la parte específica, tema 33: DOG núm. 126, 5/07/2021, anexo II (dog.xunta.gal), al que remite el DOG núm. 141, 24/07/2025.
- Documentación de Microsoft Learn: Server Core, sfc, reparación de una imagen con DISM, orden de las ACE en una DACL, Get-EventLog, Invoke-GPUpdate, Network Policy Server, WSUS y Active Directory Domain Services (sfc).
Sigue practicando
Consulta la oposición de Técnico de Sistemas TI y la guía del programa específico por bloques. Para entrenar con preguntas de este tema, crea tu cuenta.