Cuenta Ejecutar como servicio
La cuenta Ejecutar como servicio es una cuenta de Windows que Tableau Server utiliza ("ejecuta como") cuando accede a los recursos. Por ejemplo, Tableau Server lee y escribe archivos en el equipo donde está instalado Tableau Server. Desde la perspectiva de Windows, Tableau Server lo hace con la cuenta Ejecutar como servicio. En algunos casos, Tableau Server puede usar la cuenta Ejecutar como servicio para acceder a datos de fuentes externas, como las bases de datos o los archivos de un directorio de red compartido.
Cuando planifique la implementación de Tableau Server, deberá determinar si la cuenta predeterminada Ejecutar como servicio, configurada para ejecutarse en el contexto de la cuenta local Network Service (NT Authority\Network Service), es suficiente para cubrir sus necesidades. Si no lo es, tendrá que actualizar la cuenta Ejecutar como servicio para que se ejecute en una cuenta de dominio que tenga acceso a los recursos que haya en sus dominios de Active Directory.
Nota: A partir de la versión 2023.3.x deTableau Server, si la cuenta Ejecutar como servicio está configurada para usar una cuenta de dominio, los administradores también deben configurar la lista de servidores permitidos que pueden acceder a los archivos mediante el comando tsm configuration set. La lista de permitidos limita el acceso a las fuentes de datos basadas en archivos a las rutas de directorio locales o compartidas especificadas. Para obtener más información y ver los pasos necesarios para configurar una lista de servidores permitidos, consulte Lista de comprobación de mejora de la seguridad.
En cualquier caso, es importante conocer las consideraciones de seguridad de la cuenta que utiliza Tableau Server para la cuenta Ejecutar como servicio. En concreto, si Tableau Server necesita acceder a otros servidores, recursos compartidos de archivos o bases de datos que usen la autenticación de Windows, la cuenta que esté configurada para la cuenta Ejecutar como servicio se utilizará para acceder a esos recursos. La cuenta configurada para la cuenta Ejecutar como servicio debe tener permisos elevados en el Tableau Server local. Una práctica de seguridad general recomendada consiste en limitar el ámbito de todas las cuentas de usuario al mínimo de permisos requeridos. Le recomendamos que siga esta práctica también al planificar la cuenta Ejecutar como servicio. Para obtener más información, consulte Acceso a datos con la cuenta Ejecutar como servicio.
La cuenta que usa para la cuenta de servicio Ejecutar como no debe ser miembro de la cuenta de Administradores locales ni Administradores de dominio. En su lugar, recomendamos que utilice una cuenta de usuario de dominio que no sea un administrador para la cuenta de servicio Ejecutar como. El uso de una cuenta de dominio que no sea miembro de estos grupos de administradores es una práctica recomendada de seguridad y puede ayudar a evitar el acceso a determinadas fuentes de datos y carpetas. Para obtener información sobre las prácticas recomendadas para crear una cuenta de servicio Ejecutar como, consulte Crear la cuenta Ejecutar como servicio.
Puede establecer la cuenta de servicio Ejecutar como durante la instalación de Tableau Server o puede actualizarla con la interfaz de usuario web de TSM. Tableau Services Manager establece permisos para la cuenta Ejecutar como servicio, pero si no está seguro de si la cuenta que quiere usar para la cuenta Ejecutar como servicio cumple los requisitos, o si ha cambiado dicha cuenta y le aparecen errores de permisos, consulte Configuración de la cuenta Ejecutar como servicio necesaria.
Cuenta predeterminada Ejecutar como servicio: Network Service
La cuenta Network Service es una cuenta local predefinida con permisos limitados que existe en todos los equipos de Windows. Aunque tiene un acceso administrativo limitado al equipo local donde se ejecuta, tiene más acceso a los recursos que los miembros del grupo predeterminado Usuarios de Active Directory. Por ejemplo, el grupo Network Service puede escribir en el registro y el registro de eventos, y tiene derechos especiales para iniciar sesión en servicios de aplicación.
De forma predeterminada, la cuenta Ejecutar como servicio se establece en una cuenta local denominada Network Service. Use la cuenta predeterminada de Network Service cuando:
Use la autenticación local para Tableau Server.
- Todos los usuarios de la organización incluyan datos extraídos en los libros de trabajo que carguen a Tableau Server.
- Ejecute Tableau Server en una implementación de un solo servidor.
- Las fuentes de datos externas a las que acceden los usuarios a través de Tableau Server no requieren la seguridad integrada NT de Windows ni Kerberos. En la mayoría de los casos de acceso a datos, las bases de datos de Microsoft SQL Server, MSAS, Teradata y Oracle requieren la seguridad integrada NT de Windows.
Si bien la cuenta de Network Service se puede usar para acceder a recursos en equipos remotos dentro del mismo dominio de Active Directory, desaconsejamos usar la cuenta predeterminada en estos casos. Para evitarlo, configure una cuenta de dominio para la cuenta Ejecutar como servicio si Tableau Server debe conectarse a fuentes de datos en su entorno. Consulte Cambiar la cuenta Ejecutar como servicio.
Cuenta Ejecutar como servicio: usuario de dominio
En todas las situaciones de Active Directory, le recomendamos actualizar la cuenta Ejecutar como servicio de Tableau Server con una cuenta de usuario de dominio. Actualice la cuenta Ejecutar como servicio a una cuenta de usuario de dominio cuando las fuentes de datos a las que se acceda desde Tableau Server requieran la seguridad integrada NT de Windows o Kerberos.
Si ha instalado una implementación distribuida de Tableau Server, puede actualizar la cuenta Ejecutar como servicio con un usuario de dominio o un usuario de grupo de trabajo de Windows. En cualquiera de los casos, debe utilizar la misma cuenta de usuario en todos los nodos de servidor. Consulte Requisitos distribuidos para obtener más información.
Si quiere configurar el entorno para usar una cuenta de dominio, consulte Cambiar la cuenta Ejecutar como servicio.