wrapper.ntservice.account
Compatibilidad :3.0.0
Ediciones :Edición ProfesionaEdición EstándarEdición de la Comunidad
Plataformas :WindowsMac OSX (No Compatible)Linux (No Compatible)IBM AIX (No Compatible)FreeBSD (No Compatible)HP-UX (No Compatible)Solaris (No Compatible)IBM z/Linux (No Compatible)

ADVERTENCIA

NO modifique el valor de esta propiedad mientras una aplicación que utiliza el archivo de configuración se haya instalado como un servicio de Windows. Desinstale el servicio existente ANTES de modificar esta propiedad. Luego podrá reinstalar de forma segura el servicio con el nuevo valor.

Esta propiedad solo es efectiva en plataformas Windows. Permite especificar la cuenta que se usará al ejecutarse como servicio de Windows. La cuenta de servicio proporciona un contexto de seguridad para el servicio.

NOTA

Los cambios en esta propiedad no tendrán efecto hasta que se reinstale el servicio de Windows.


Cuentas:

Los Servicios de Windows se pueden configurar para ejecutarse con diferentes tipos de cuentas:

  • LocalService, NetworkService y LocalSystem

    Estas tres cuentas especiales se utilizan tradicionalmente para instalar servicios de Windows.

    LocalService tiene privilegios mínimos en la computadora local y presenta credenciales anónimas en la red.

    NetworkService tiene privilegios mínimos en la computadora local, pero actúa como la computadora en la red.

    LocalSystem tiene amplios privilegios en la computadora local y actúa como la computadora en la red.

    Ejemplo: 
    wrapper.ntservice.account=NT AUTHORITY\NetworkService
wrapper.ntservice.account=NT AUTHORITY\LocalService

    El valor predeterminado, en blanco, utilizará la cuenta LocalSystem.

  • Cuentas de usuario y Cuentas de usuario de dominio

    Para mejorar la seguridad, es mejor que su servicio funcione bajo una cuenta dedicada. Lo ideal sería que la cuenta solo tuviera acceso a los archivos que necesita el Wrapper o la aplicación Java y, a la inversa, ninguna otra cuenta (y, por lo tanto, ningún otro proceso) debería tener acceso a estos archivos.

    Las cuentas de usuario permiten esto. El nombre de la cuenta debe escribirse con el formato: {DomainName}\{UserName}. Si la cuenta pertenece al dominio integrado, puede especificar el nombre con el formato: .\{UserName}.

    Ejemplo: 
    wrapper.ntservice.account=.\leif

  • Cuentas de servicio administradas (MSA) Managed Service Accounts (MSA)

    Si tiene muchos servicios en una red grande, usar una cuenta dedicada por servicio implica una gran cantidad de administración. Las cuentas de servicio administradas ofrecen una alternativa a las cuentas de usuario, eliminando la complejidad de la administración de contraseñas. Se generan automáticamente contraseñas seguras y aleatorias, que se renuevan al llegar a su fecha de vencimiento. Esto significa que nunca es necesario configurar wrapper.ntservice.password.

    Las cuentas de servicio administradas requieren que Active Directory esté instalado en la máquina y la edición Server de Windows

    Se admiten los siguientes tipos de cuentas: Cuentas de servicio administradas independientes (Standalone Managed Service Accounts - sMSA), Cuentas de servicio administradas por grupo (Group Managed Service Accounts - gMSA), Cuentas de servicio gestionadas delegadas (Delegated Managed Service Accounts - dMSA), and Cuentas virtuales (Virtual Accounts).

    sMSA, gMSA y las cuentas virtuales requieren Windows Server 2008 R2, mientras que dMSA se introdujeron en Windows Server 2025. dMSA ofrece ventajas de seguridad que puede leer en MSDN (consulte los enlaces anteriores).

    Para sMSA, gMSA y dMSA, el nombre de la cuenta debe escribirse en el formato: {DomainName}\{UserName}$ (el '$' final es importante).

    Ejemplo: 
    wrapper.ntservice.account=da.tanuki.com\gmsaTanuki$

NOTA

El uso de la mayoría de estas cuentas requiere configurar los permisos adecuados para los archivos a los que el Wrapper o la aplicación Java deben acceder. Es recomendable configurar los permisos de archivo solo para las cuentas de servicio que requieren acceso y limitar el tipo de acceso (por ejemplo, lectura, escritura, ejecución, etc.) al mínimo indispensable. Ajustar los permisos de archivo requiere cierto esfuerzo, pero suele ser necesario para ejecutar la aplicación de forma segura.

En Windows, la mayoría de los archivos tendrán permisos completos para la cuenta 'SYSTEM'. Esto significa que cualquier servicio que se ejecute con LocalSystem, se ejecutará sin necesidad de modificar los permisos de archivo. Por eso, al usar LocalSystem como cuenta predeterminada para los servicios de Windows, es fácil configurar y ejecutar sus servicios. Sin embargo, tenga en cuenta que, con LocalSystem, su proceso Java se ejecutará con los privilegios más altos en Windows. Si bien muchos servicios en Windows se consideran confiables y se ejecutan con LocalSystem, usted decide si su aplicación debe tener dichos privilegios.


Contraseña:

La mayoría de las cuentas de usuario o de dominio requieren una contraseña. Consulte la propiedad wrapper.ntservice.password para ver las distintas opciones para especificar una contraseña.


Error en la instalación del servicio: Error on Service Install:

Al intentar instalar el servicio, aparecerá el siguiente mensaje si el nombre de la cuenta no es válido, no existe o la contraseña de la cuenta es incorrecta. Un error común es configurar el nombre de la cuenta en leif, en lugar de .\leif. 

CreateService failed - The account name is invalid or does not exist,
or the password is invalid for the account name specified. (0x421)

Además, solo las cuentas con el permiso "Iniciar sesión como servicio" activado pueden usarse para ejecutar un servicio. Si no se activa este permiso, aparecerá el siguiente mensaje de error al intentar instalar el servicio: 

 Authentication attempt failed - Logon failure: the user has not been granted the requested logon type at this computer. (0x569)

NOTA

Desde la versión 3.5.8, el Wrapper agregará automáticamente el permiso "Iniciar sesión como servicio" durante la instalación del servicio.

A partir de la versión 3.5.44, es posible controlar si se debe agregar el permiso o no mediante la propiedad wrapper.ntservice.account.logon_as_service.


Configuración de Derechos de Acceso en el Sistema:

Para configurar el derecho de "Iniciar sesión como servicio", encuentre la carpeta "Herramientas administrativas" del panel de control. Abra la aplicación "Política de seguridad local", expanda "Política local" y haga clic en "Asignación de derechos de usuario". A la derecha, encontrará la política "Iniciar sesión como servicio". Haga clic derecho o doble clic para acceder a las propiedades y agregue el usuario al que desea permitir ejecutar el servicio.

Tenga en cuenta que el applet "Política de seguridad local" no parece estar disponible en las ediciones Home de Windows.


Servicios Interactivos:

La propiedad wrapper.ntservice.interactive se ignorará (se resolverá como FALSO) si el servicio está configurado para ejecutarse utilizando una cuenta específica.

Referencia: Cuenta