Czy Zamawiający oczekuje wyłącznie migracji technicznej AD czy również wdrożenia rekomendacji bezpieczeństwa wynikających z analizy?Czy wdrażane rekomendacje bezpieczeństwa mają zostać zaimplementowane w ramach projektu czy jedynie opisane w raporcie? Czy oczekiwane jest przygotowanie Security Baseline dla Active Directory zgodnej z Microsoft Security Compliance Toolkit? Czy Zamawiający posiada wydzielone konta administracyjne? Czy administratorzy korzystają obecnie z osobnych kont do administracji i codziennej pracy? Czy oczekiwane jest wdrożenie modelu Tier 0 / Tier 1 / Tier 2? Czy oczekiwane jest wdrożenie Protected Users Group? Czy oczekiwane jest wdrożenie Authentication Policies i Authentication Silos? Czy konta serwisowe mają być objęte analizą możliwości migracji do gMSA? Czy oczekiwane jest wyeliminowanie RC4 i przejście na AES128/AES256? Czy wszystkie aplikacje wspierają AES Kerberos? Czy wymagana jest analiza Kerberoasting? Czy wykonawca ma zweryfikować istniejące Service Principal Names (SPN)? Czy oczekiwane jest usunięcie nieużywanych delegacji Kerberos? Czy oczekiwane jest wdrożenie LDAP Signing? Czy oczekiwane jest wdrożenie LDAP Channel Binding? Czy wszystkie aplikacje obsługują LDAPS? Czy Zamawiający posiada infrastrukturę certyfikatów PKI? Czy istnieją aplikacje wykorzystujące LDAP na porcie 389 bez szyfrowania? Czy docelowo NTLM ma zostać: • monitorowany, • ograniczony, • całkowicie wyłączony? Czy Zamawiający posiada listę aplikacji korzystających z NTLM? Czy oczekiwane jest wygenerowanie pełnego raportu NTLM Audit przed migracją? Czy oczekiwany jest przegląd konfiguracji DNS Security? Czy wymagana jest analiza stref DNS pod kątem bezpieczeństwa? Czy oczekiwane jest ograniczenie dynamicznych aktualizacji DNS? Czy wymagana jest analiza starzejących się rekordów (DNS Aging & Scavenging)? Czy oczekiwane jest uporządkowanie GPO? Czy oczekiwane jest usunięcie nieużywanych GPO? Czy wykonawca ma przeprowadzić analizę konfliktów pomiędzy GPO? Czy oczekiwane jest wdrożenie AGPM lub procedury change management dla GPO? Czy istnieją wymagania dotyczące hardeningu stacji roboczych poprzez GPO? Czy wykonywane są obecnie backupy System State kontrolerów domen? Czy wykonywane są testy odtwarzania AD? Czy oczekiwane jest przygotowanie procedury Forest Recovery? Czy procedura Disaster Recovery ma zostać przetestowana? Czy istnieją wymagania dotyczące Recovery Time Objective (RTO)? Czy istnieją wymagania dotyczące Recovery Point Objective (RPO)? Czy oczekiwane jest wdrożenie monitoringu AD? Czy Zamawiający posiada system SIEM? Czy oczekiwana jest integracja logów AD z Microsoft Sentinel lub innym SIEM? Czy oczekiwane są dashboardy monitorujące replikację AD i DNS? Czy przechowywanie kluczy BitLocker w AD ma objąć wszystkie urządzenia? Czy wykorzystywany jest obecnie Microsoft Intune? Czy klucze mają być przechowywane wyłącznie w AD czy również w Microsoft Entra ID? Prosimy o podanie orientacyjnej liczby: • użytkowników domenowych, • stacji roboczych, • serwerów członkowskich, • kont serwisowych funkcjonujących w środowisku Active Directory

Odpowiedzi na zadane pytania znajdują się w pliku odpowiedzi na pytania z dn 2026 07 13 godz 12 51

Gdzie i na czym hostowane są obecne kontrolery domeny (Azure, AVS, ESXi, Hyper-V, Proxmox itp.) i czy nowe kontrolery domeny będą hostowane w tym samym miejscu? Zamawiający nie przewiduje w ramach niniejszego postępowania aktualizacji ani migracji systemów i aplikacji korzystających z usługi katalogowej Active Directory do ich nowszych wersji. Jeżeli kontrolery domeny będą utrzymywane na ich obecnych hypervisorach, może się okazać, że nie obsługują one Windows Server 2022 i VM-GenerationID, który jest wymagany dla kontrolerów domeny. Czy zamawiający dostarczy specyfikację hypervisora? Czy nowe kontrolery domeny mają mieć takie same nazwy/adresację IP, co obecne? Jeżeli takie same, to kto będzie odpowiedzialny za zmianę np. ustawie DNS na serwerach/aplikacjach, które mają na sztywno wpisane adresy IP RWDC/RODC Jaki jest powód utrzymania RODC, czy są to względy bezpieczeństwa? Jeśli chodzi o zabezpieczenia Kerberos, w lipcu Microsoft wypuszcza patch, który domyślnie wyłącza szyfrowanie RC4 dla Kerberosa. Czy środowisko zostało przygotowane pod to i czy Wykonawca będzie musiał stopniowo wyłączać RC4 w przyszłości? Czy obecna replikacja AD działa przez DFSR czy FRS? Jeśli FRS, to dodanie kontrolerów domeny działających jako Windows Server 2022 będzie niemożliwe. Kto będzie odpowiedzialny za przygotowanie środowiska do migracji z FRS do DFSR.

odpowiedzi na pytania znajdują się w pliku odpowiedzi na pytania z dn 2026 07 13 godz 14 21

1. Prosimy o potwierdzenie, że środowisko Active Directory podlegające usłudze aktualizacji obejmuje jeden las z jedną domeną. 2. Prosimy o potwierdzenie, że zastąpienie dwóch kontrolerów RODC jednym kontrolerem RWDC oznacza usunięcie roli kontrolera domeny z obu serwerów RODC, ich wycofanie ze środowiska Active Directory oraz wdrożenie jednego nowego kontrolera RWDC. Prosimy również o wskazanie, ile łącznie nowych kontrolerów domeny Windows Server 2022 należy wdrożyć i z ilu kontrolerów domeny ma składać się środowisko docelowe. 3. Prosimy o wyjaśnienie, czy rekomendacje wynikające z analizy OU, GPO, kont uprzywilejowanych, kont serwisowych oraz protokołów uwierzytelniania mają zostać wyłącznie przedstawione w raporcie, czy wykonawca ma również wdrożyć rekomendowane zmiany w ramach Etapu 1. 4. Prosimy o określenie zakresu odpowiedzialności wykonawcy w przypadku wystąpienia po aktualizacji Active Directory problemów z działaniem systemów pozostających poza okresem wsparcia producenta, w szczególności Microsoft Lync Server 2013 i Microsoft SharePoint Server 2013, jeżeli usunięcie tych problemów nie będzie możliwe w ramach prac dotyczących Active Directory albo będzie wymagało zmian w systemach i aplikacjach, które nie są objęte przedmiotem zamówienia. 5. Prosimy o wyjaśnienie, czy stopniowe zaostrzenie zabezpieczeń Kerberos, LDAP, NTLM i TLS oznacza wyłącznie analizę oraz przygotowanie rekomendacji i planu wdrożenia, czy również wdrożenie ustawień wymuszających w środowisku produkcyjnym. Prosimy również o określenie sposobu postępowania, jeżeli zmiany te wpłyną na systemy i aplikacje nieobjęte aktualizacją, a zwłaszcza te, które nie są już wspierane przez producenta. 6. Prosimy o określenie, czy wykonawca ma usunąć wszystkie nieprawidłowości Active Directory wykryte podczas analizy, czy wyłącznie nieprawidłowości uniemożliwiające bezpieczne przeprowadzenie aktualizacji lub bezpośrednio związane z zakresem zamówienia. 7. Czy środowisko Active Directory jest zintegrowane z Microsoft Entra ID? Jeżeli tak, prosimy o potwierdzenie, czy analiza oraz testy zależności tej integracji od lokalnego środowiska Active Directory są objęte zakresem zamówienia. 8. Prosimy o podanie przybliżonej liczby obiektów zasad grupy GPO podlegających analizie oraz potwierdzenie, czy analizie mają podlegać wszystkie istniejące obiekty GPO, czy wyłącznie obiekty posiadające aktywne przypisania w Active Directory 9. Czy środowisko Active Directory jest obecnie objęte systemem wykonywania kopii zapasowych umożliwiających odtworzenie usług oraz czy możliwość odtworzenia została praktycznie zweryfikowana? 10. Prosimy o potwierdzenie że Zamawiający zapewni udział administratorów lub właścicieli technicznych systemów korzystających z Active Directory podczas analizy, wdrażania zmian i wykonywania testów, w szczególności dla Exchange Server, Lync Server, SharePoint Server, systemów Linux, iMaster oraz NPS 11. Prosimy o potwierdzenie, że testy funkcjonalne systemów korzystających z Active Directory będą wykonywane przez administratorów lub właścicieli technicznych tych systemów, przy współudziale wykonawcy odpowiedzialnego za aktualizację usług Active Directory. 12. Czy Zamawiający dopuszcza zdalną realizację analizy, konfiguracji nowych kontrolerów domeny oraz prac migracyjnych? Jeżeli obecność wykonawcy w siedzibie Zamawiającego jest wymagana, prosimy o wskazanie etapów, które muszą zostać wykonane na miejscu.

odpowiedzi na pytania znajdują się w pliku odpowiedzi na pytania z dn 2026 07 13 godz 17 51

Dzień dobry, Proszę o odpowiedź na poniższe pytania: 1. Prosimy o potwierdzenie, że Zamawiający posiada wdrożone i przetestowane procedury wykonywania kopii zapasowych (backup) oraz odtwarzania po awarii (Disaster Recovery) dla usługi katalogowej Active Directory. 2. Kiedy po raz ostatni zostało przeprowadzone testowe odtworzenie całego lasu (forest recovery) Active Directory? 3. Prosimy o potwierdzenie, czy Zamawiający akceptuje ryzyko, że część systemów wymienionych w punkcie II może działać niestabilnie po migracji środowiska. Dotyczy to w szczególności systemów, które: o osiągnęły koniec cyklu życia (End of Life) i nie są objęte wsparciem producenta (Microsoft), o nie były testowane przez producenta pod kątem współpracy z kontrolerami domeny opartymi o system Windows Server 2022 (wskazany Lync Server 2013) 4. Prosimy o potwierdzenie, że Zamawiający zweryfikował kompatybilność wszystkich serwerów wskazanych w punkcie II, tj. „serwerów pracujących w oparciu o systemy operacyjne Microsoft Windows Server w wersjach od 2012 do 2025”, z infrastrukturą Active Directory opartą na kontrolerach domeny z systemem Windows Server 2022. 5. W przypadku braku przeprowadzenia takiej weryfikacji prosimy o przedstawienie wykazu wskazanych serwerów wraz z: o zainstalowanymi rolami / aplikacjami o przeznaczeniem poszczególnych serwerów. 6. Prosimy o potwierdzenie, że serwery Linux, które są zintegrowane z usługą katalogową Active Directory są zgodnie z aktualnymi standardami bezpieczeństwa oraz są kompatybilne z kontrolerami domeny opartymi o system Windows Server 2022. 7. Czy w przypadku wystąpienia problemów z kompatybilnością wynikających z wykorzystywania systemów lub rozwiązań typu legacy, dla których producent nie zapewnia już wsparcia, Zamawiający dopuszcza możliwość obniżenia standardów konfiguracji zabezpieczeń na nowych kontrolerach domeny w celu zapewnienia kompatybilności z tymi systemami? 8. Prosimy o potwierdzenie, że zakres przedmiotu zamówienia nie obejmuje serwerów członkowskich domeny innych niż kontrolery domeny, w szczególności w zakresie: o instalacji aktualizacji, o konfiguracji zabezpieczeń o rozwiązywania problemów z kompatybilnością, 9. Czy Zamawiający może potwierdzić, że wszystkie serwery (również te legacy) są zaktualizowane do ostatnich dostępnych poprawek.

odpowiedzi na pytania znajdują się w pliku odpowiedzi na pytania z dn 2026 07 13 godz. 19 09