Windows Server Core: Gestão Headless em 2026

Windows Server Core
Headless
PowerShell
SConfig
Windows Admin Center
Remote Management

Duarte Spínola · 5 julho 2026 · kbase.pt

1. O Que é o Windows Server Core e Porque Usar

O Windows Server Core é a opção de instalação mínima do Windows Server, sem o ambiente gráfico tradicional (sem Explorer, sem Server Manager gráfico, sem bandeja de sistema). O servidor arranca directamente para uma consola de texto (cmd ou PowerShell) com o utilitário SConfig disponível para configuração básica. A gestão é feita quase integralmente à distância.

Desde o Windows Server 2019 que a Microsoft deixou de oferecer a opção Desktop Experience como separada — o Core passou a ser a opção recomendada por omissão. No Windows Server 2025, o Core continua a ser a instalação padrão para controladores de domínio, hosts Hyper-V, servidores de ficheiros e infraestruturas de rede. A Microsoft recomenda o Core na maioria dos cenários de produção, conforme documenta em What is Server Core (Microsoft Learn).

Vantagens principais

• Menor superfície de ataque — sem GUI, sem Internet Explorer, sem Painel de Controlo gráfico, há menos componentes expostos a vulnerabilidades.
• Menor consumo de recursos — requisitos de RAM e disco inferiores; ideal para servidores virtualizados e ambientes com hardware limitado.
• Menos reinícios — as actualizações mensais afectam menos componentes, reduzindo reinícios obrigatórios.
• Estabilidade — menos serviços em execução significa menos pontos de falha e maior uptime.
• Automatização nativa — tudo é configurável por PowerShell, o que favorece infraestrutura como código.

2. Server Core vs Desktop Experience (comparação)

A comparação entre Server Core e Desktop Experience é essencial para decidir qual a opção mais adequada. A tabela seguinte resume as principais diferenças:

Característica	Server Core	Desktop Experience
Interface gráfica	Não (consola de texto)	Sim (Explorer, Server Manager, MMC)
RAM mínima	512 MB (recomendado 1 GB)	2 GB (recomendado 4 GB)
Espaço em disco	~10 GB	~32 GB
Actualizações (reboot médio/ano)	~4–6	~12–18
Gestão local	SConfig + PowerShell	Server Manager, MMC, PowerShell
Suporte a GUI apps	Não	Sim
Funções suportadas	AD DS, AD CS, DHCP, DNS, File Services, Hyper-V, IIS, Print, WDS	Todas as funções
Surface attack	Reduzido	Alargado

O utilizador deve avaliar se as aplicações instaladas no servidor suportam execução sem GUI. Algumas aplicações legacy (por exemplo, instaladores baseados em InstallShield com GUI obrigatória) não funcionam em Core. A Microsoft mantém uma lista de funções suportadas em Server Core roles and features (Microsoft Learn).

3. Instalar Server Core (passo a passo)

A instalação do Windows Server Core é semelhante à do Desktop Experience — a diferença está na escolha da opção de instalação. O processo seguinte aplica-se ao Windows Server 2025, mas é válido para 2019 e 2022 com pequenas variações de interface.

Passo 1 — Arrancar do ISO

1. Montar o ISO do Windows Server 2025 no suporte de instalação (USB, ISO em VM, PXE/WDS).
2. Arrancar e seleccionar idioma, teclado e hora.
3. Clicar em Instalar agora.

Passo 2 — Escolher a opção Core

Na selecção de sistema operativo, o utilizador deve escolher Windows Server 2025 Standard/Datacenter (sem a indicação “Desktop Experience”). Esta é a opção Core:

# Escolher uma das opções Core (SEM "Desktop Experience"):
# Windows Server 2025 Standard        ← Core
# Windows Server 2025 Datacenter      ← Core
# Windows Server 2025 Standard (Desktop Experience)  ← NÃO escolher
# Windows Server 2025 Datacenter (Desktop Experience)  ← NÃO escolher

Passo 3 — Particionar e instalar

1. Aceitar os termos de licença.
2. Escolher instalação personalizada (Custom).
3. Seleccionar o disco/partição. Para servidores de produção, recomenda-se um disco único com todo o espaço disponível.
4. A instalação copia ficheiros, reinicia e termina sem qualquer interface gráfica — apenas uma consola cmd.

Passo 4 — Definir password de administrador

Após o primeiro arranque, o servidor pede a password do administrador local. Depois disso, a consola mostra o prompt do SConfig automaticamente:

Microsoft Windows [Version 10.0.26100.1]
(c) Microsoft Corporation. All rights reserved.

C:\Windows\System32>sconfig

Para instalação totalmente automatizada, o utilizador pode recorrer a ficheiros de resposta unattend.xml ou a Windows Assessment and Deployment Kit (ADK) com Windows Deployment Services (WDS).

4. SConfig: Configuração Inicial

O SConfig (Server Configuration Tool) é o utilitário de configuração inicial incluído em todas as instalações Server Core. Apresenta um menu numerado que permite configurar os parâmetros essenciais sem conhecimento de PowerShell. É a primeira ferramenta que o administrador encontra após a instalação.

Documentação oficial: SConfig (Microsoft Learn).

Menu do SConfig

===============================================================================
                         Server Configuration
===============================================================================
1) Domain/Workgroup:        Workgroup:  WORKGROUP
2) Computer name:            WIN-AB12CDEF
3) Add local administrator
4) Configure remote management:  Enabled
5) Windows Update settings:  Download only
6) Download and install updates:  None
7) Remote desktop:           Disabled
8) Network settings:         DHCP (auto assigned)
9) Date and time
10) Telemetry settings:      Basic
11) Windows activation:       Not activated

13) Restart computer
14) Shut down computer
15) Exit to command line

Configuração típica de um servidor novo

1. Opção 2 — Alterar o nome do computador (ex.: SRV-DC01). O servidor reinicia.
2. Opção 8 — Configurar IP estático, máscara, gateway e DNS.
3. Opção 5 — Definir Windows Update para automático.
4. Opção 6 — Transferir e instalar actualizações.
5. Opção 7 — ativar Remote Desktop (opcional, para troubleshooting).
6. Opção 1 — Juntar ao domínio (se já existir AD DS).
7. Opção 10 — Configurar telemetria (recomendado: Security ou Required).
8. Opção 11 — ativar o Windows (product key ou KMS).

Configurar rede pelo SConfig (opção 8)

# SConfig → opção 8
# Selecionar o adaptador de rede (índice numérico)
# Escolher:
#   1) DHCP
#   2) Static IP
# Inserir: 192.168.10.20
# Máscara: 255.255.255.0 (ou prefixo /24)
# Gateway: 192.168.10.1
# DNS: 192.168.10.10, 8.8.8.8

Após configurar o IP, o SConfig mostra um resumo da configuração de rede. O utilizador deve confirmar os valores antes de aplicar.

5. Gestão Remota com PowerShell

A gestão remota com PowerShell é o método principal para administrar um servidor Core a partir de uma estação de trabalho. O WinRM (Windows Remote Management) é o protocolo subjacente que permite executar comandos PowerShell num servidor remoto como se fosse local.

Estabelecer sessão interactiva

A partir de uma estação de trabalho (Windows 11 ou outro servidor) com PowerShell 5.1 ou superior:

# Entrar numa sessão interactiva no servidor remoto
Enter-PSSession -ComputerName SRV-DC01 -Credential (Get-Credential)

# O prompt muda para:
[SRV-DC01]: PS C:\Users\admin\Documents>

# Executar comandos como se fosse local
Get-Service | Where-Object Status -eq 'Running'
Get-NetIPAddress -AddressFamily IPv4
hostname
Exit-PSSession

Executar comandos remotos (One-to-Many)

# Invocar um comando em múltiplos servidores
Invoke-Command -ComputerName SRV-DC01,SRV-HV01,SRV-FS01 `
    -ScriptBlock {
        Get-Service -Name WinRM, W3SVC, DNS |
            Select-Object Name, Status, StartType
    } |
    Select-Object PSComputerName, Name, Status, StartType |
    Format-Table -AutoSize

Sessões persistentes (CIMSession)

# Criar uma sessão persistente
$session = New-PSSession -ComputerName SRV-DC01 -Credential (Get-Credential)

# Usar a sessão múltiplas vezes
Invoke-Command -Session $session -ScriptBlock { Get-Process | Select -First 5 }
Invoke-Command -Session $session -ScriptBlock { Get-EventLog -LogName System -Newest 10 }

# Remover sessão quando não for necessária
Remove-PSSession -Session $session

Para ambientes com múltiplos servidores, o PowerShell Remoting é mais eficiente que RDP. O utilizador pode gerir dezenas de servidores Core a partir de uma única consola. Documentação completa em PowerShell Remoting Overview (Microsoft Learn).

6. Windows Admin Center para Server Core

O Windows Admin Center (WAC) é a ferramenta gráfica recomendada pela Microsoft para gerir servidores Core a partir de um navegador web. Não requer instalação de agente no servidor gerido — toda a comunicação é feita via WinRM e PowerShell/CIM. O WAC oferece uma interface visual para quase tudo o que se faz em PowerShell, sem precisar de RDP para o servidor.

Para uma visão detalhada do WAC, consulte o artigo Windows Admin Center: Gestão de Servidores em 2026 aqui no kbase.pt.

Adicionar um servidor Core ao WAC

1. Abrir o WAC no navegador (https://wac-gateway:443).
2. Clicar em Add → Servers.
3. Inserir o nome ou IP do servidor Core (ex.: SRV-DC01.kbase.local).
4. Inserir credenciais com privilégios administrativos no servidor.
5. O WAC resolve o servidor, valida a conectividade WinRM e adiciona-o à lista.

O que o WAC permite gerir num servidor Core

• Visão geral — CPU, memória, disco, rede, eventos, processos, serviços.
• Ficheiros e partilhas — criar pastas, partilhas SMB/NFS, permissões NTFS.
• Firewall — regras de entrada/saída, perfis.
• Registry — editar chaves e valores do registo.
• Hyper-V — criar, configurar e migrar VMs.
• Active Directory — (se o WAC tiver a extensão AD instalada) gerir utilizadores, grupos, OUs.
• Certificados — instalar e gerir certificados locais.
• Actualizações — verificar, transferir e instalar updates.

7. Configurar WinRM e PowerShell Remoting

O WinRM é o protocolo de gestão remota do Windows, baseado no standard WS-Management. Em Server Core, o WinRM está ativo por omissão, mas é necessário garantir que a configuração está correcta para permitir ligações seguras desde estações de trabalho externas.

ativar e verificar WinRM no servidor Core

# Na consola local do servidor Core (ou via Enter-PSSession):

# ativar PowerShell Remoting (normalmente já ativo)
Enable-PSRemoting -Force

# Verificar estado do serviço WinRM
Get-Service WinRM

# Verificar configuração do WinRM
winrm get winrm/config

# Configurar o serviço para arranque automático
Set-Service -Name WinRM -StartupType Automatic

Configurar Trusted Hosts (quando sem domínio)

Se o servidor não está num domínio AD, é necessário adicionar a estação de trabalho do administrador à lista de Trusted Hosts do servidor Core:

# No servidor Core — permitir ligação de uma estação específica
Set-Item WSMan:\localhost\Client\TrustedHosts -Value "ADMIN-PC01" -Force

# Ou permitir todas as máquinas de uma subnet
Set-Item WSMan:\localhost\Client\TrustedHosts -Value "192.168.10.*" -Force

# Verificar Trusted Hosts
Get-Item WSMan:\localhost\Client\TrustedHosts

# Reiniciar o serviço WinRM
Restart-Service WinRM

Firewall — abrir portas WinRM

# Verificar regras de firewall para WinRM
Get-NetFirewallRule -Name "WINRM*" | Select-Object Name, Enabled, Direction

# ativar a regra HTTP (porta 5985)
Enable-NetFirewallRule -Name "WINRM-HTTP-In-TCP"

# ativar a regra HTTPS (porta 5986) — recomendado
Enable-NetFirewallRule -Name "WINRM-HTTPS-In-TCP"

Em ambientes com domínio, a configuração de Trusted Hosts não é necessária — a autenticação Kerberos trata da validação mútua. O utilizador deve preferir a autenticação Kerberos sempre que possível. Mais detalhes em Running Remote Commands (Microsoft Learn).

8. Instalar Funções e Features (Server Manager remoto)

Em Server Core, a instalação de funções e features é feita exclusivamente via PowerShell — não há Server Manager gráfico no servidor. O cmdlet principal é o Install-WindowsFeature (ou Add-WindowsFeature em versões mais antigas). Pode ser executado localmente na consola ou remotamente via Invoke-Command.

Listar funções disponíveis

# Listar todas as funções e features disponíveis
Get-WindowsFeature | Where-Object Installed -eq $false |
    Select-Object Name, DisplayName, InstallState |
    Format-Table -AutoSize

# Procurar uma função específica
Get-WindowsFeature -Name *Hyper-V*
Get-WindowsFeature -Name *AD-D*

Instalar Hyper-V remotamente

# Instalar Hyper-V no servidor Core remoto
Invoke-Command -ComputerName SRV-CORE01 -ScriptBlock {
    Install-WindowsFeature -Name Hyper-V -IncludeManagementTools -Restart
}

# Instalar AD DS + DNS
Invoke-Command -ComputerName SRV-DC01 -ScriptBlock {
    Install-WindowsFeature -Name AD-Domain-Services,DNS -IncludeManagementTools
}

# Verificar instalação
Get-WindowsFeature -ComputerName SRV-CORE01 -Name Hyper-V

9. Hyper-V em Server Core

O Server Core é a plataforma ideal para Hyper-V. Sem overhead de GUI, todo o RAM e CPU ficam disponível para VMs. A gestão é feita via PowerShell ou Hyper-V Manager remoto a partir de uma estação Windows 11/10 com RSAT instalado.

# Criar switch virtual externo
New-VMSwitch -Name "vSwitch-Ext" -NetAdapterName "Ethernet0" -AllowManagementOS $true

# Criar VM nova
New-VM -Name "VM-WEB01" -MemoryStartupBytes 4GB -Generation 2 `
    -VHDPath "D:\VMs\VM-WEB01\disk.vhdx" -VHDSizeBytes 80GB `
    -SwitchName "vSwitch-Ext"

# Configurar vCPU e DVD
Set-VM -Name "VM-WEB01" -ProcessorCount 2
Set-VMDvdDrive -VMName "VM-WEB01" -Path "\\fileserver\isos\WindowsServer2025.iso"

# Arrancar e ligar
Start-VM -Name "VM-WEB01"
Connect-VM -VMName "VM-WEB01"  # Requer RSAT

Para mais detalhes sobre Hyper-V e virtualização, consulta o artigo sobre Hyper-V no Windows Server com PowerShell.

10. Active Directory Domain Services em Core

Promover um Server Core a Domain Controller é uma operação comum em PMEs. O processo usa o módulo ADDSDeployment via PowerShell. Para comparar com a alternativa Linux/Samba, consulta o artigo sobre Samba AD como controlador de domínio.

# Promover a Domain Controller (floresta nova)
Install-ADDSForest `
    -DomainName "empresa.local" `
    -DomainNetbiosName "EMPRESA" `
    -SafeModeAdministratorPassword (ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force) `
    -InstallDNS:$true `
    -Force

# Promover a DC adicional em domínio existente
Install-ADDSDomainController `
    -DomainName "empresa.local" `
    -SafeModeAdministratorPassword (ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force) `
    -Force

# Verificar replicação
repadmin /showrepl
repadmin /replsummary

11. Segurança e Hardening do Core

O Server Core é inerentemente mais seguro que Desktop Experience — tem menos binários, menos serviços e menos superfície de ataque. Mas ainda requer hardening adicional. As recomendações baseiam-se no Security and Assurance guide da Microsoft e no CIS Benchmark para Windows Server.

Medida	Comando	Prioridade
desativar SMBv1	Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol	Crítica
ativar Windows Defender	Set-MpPreference -DisableRealtimeMonitoring $false	Alta
Configurar Firewall	Set-NetFirewallProfile -All -Enabled True -DefaultInboundAction Block	Alta
Auditoria de logins	auditpol /set /category:"Logon/Logoff" /success:enable /failure:enable	Média
RDP apenas NLA	Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1	Alta

# Aplicar baseline de segurança com SecurityBaseline (DSC)
# Requer módulo PSModules: SecurityBaseline
Install-Module -Name SecurityBaseline -Force
Invoke-DscResource -Name SecurityBaseline -Method Apply

# Verificar conformidade
Get-DscConfigurationStatus

12. Atualizações e Manutenção

As atualizações em Server Core são geridas via SConfig (opção 6) ou PowerShell. O SConfig oferece um menu simples para verificar, descarregar e instalar updates. Para automação, usar o módulo PSWindowsUpdate ou WSUS (ver artigo sobre WSUS no Windows Server 2025).

# Verificar updates disponíveis
Get-WindowsUpdate -Verbose

# Instalar todos os updates
Install-WindowsUpdate -AcceptAll -AutoReboot

# Instalar apenas updates de segurança
Install-WindowsUpdate -Category "Security Updates" -AcceptAll

# Ver histórico de instalação
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

# Verificar última vez que instalou updates
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update' |
    Select-Object LastSuccessTime, LastErrorTime

13. Cenário Prático PME (DC + Hyper-V host em Core)

Cenário real para uma PME com 50 colaboradores: 2 servidores físicos em Server Core — um Domain Controller e um host Hyper-V. Total: 2 licenças Windows Server 2025 Standard, sem CALs adicionais para gestão (tudo remoto).

Arquitetura

# SRV-DC01 (Server Core) — Domain Controller + DNS
#   - 16GB RAM, 4 vCPU, 200GB SSD
#   - Roles: AD-Domain-Services, DNS
#   - GPO: Password policy, RDP NLA, Windows Defender

# SRV-HV01 (Server Core) — Hyper-V Host
#   - 64GB RAM, 16 vCPU, 4TB NVMe
#   - Roles: Hyper-V
#   - VMs: VM-FS01 (file server), VM-WEB01 (IIS), VM-SQL01 (SQL Express)

# Gestão a partir de estação Windows 11 com RSAT + WAC
#   - Hyper-V Manager remoto
#   - Windows Admin Center (https://wac.empresa.local)
#   - PowerShell remoto para ambos

Provisionamento com PowerShell

# 1. Configurar SRV-DC01
$sess = New-PSSession -ComputerName SRV-DC01 -Credential (Get-Credential)
Invoke-Command -Session $sess -ScriptBlock {
    # Renomear servidor
    Rename-Computer -NewName "SRV-DC01" -Restart
    # Após reboot:
    Install-WindowsFeature AD-Domain-Services,DNS -IncludeManagementTools
    Install-ADDSForest -DomainName "empresa.local" -Force
}

# 2. Configurar SRV-HV01
$sess2 = New-PSSession -ComputerName SRV-HV01 -Credential (Get-Credential)
Invoke-Command -Session $sess2 -ScriptBlock {
    Rename-Computer -NewName "SRV-HV01" -Restart
    # Após reboot:
    Install-WindowsFeature Hyper-V -IncludeManagementTools -Restart
    # Após reboot:
    New-VMSwitch -Name "vSwitch-Ext" -NetAdapterName "Ethernet0" -AllowManagementOS $true
    # Juntar ao domínio
    Add-Computer -DomainName "empresa.local" -Restart
}

14. Checklist de Implementação

Etapa	Comando	Estado
Descarregar ISO Server Core	VLSC / Evaluation Center	☐
Instalar Server Core	Boot ISO → opção “Windows Server (Core)”	☐
Configurar com SConfig	sconfig → nome, rede, domínio	☐
ativar WinRM	Enable-PSRemoting -Force	☐
Instalar WAC	Instalar WAC em estação de gestão	☐
Instalar roles	Install-WindowsFeature	☐
Hardening	desativar SMBv1, ativar Defender, Firewall	☐
Configurar updates	SConfig → opção 6 ou PSWindowsUpdate	☐
Backup	Configurar Veeam / wbadmin	☐

Artigos Relacionados

• Windows Server 2025: Novidades e Migração
• Hyper-V no Windows Server: Virtualização com PowerShell
• Windows Admin Center: Gestão de Servidores
• Samba AD: Controlador de Domínio para PME
• Corrigir Windows Update Corrupto no Windows Server
• WSUS: Gestão de Patches no Windows Server