ADQUISICIÓN DE SUSCRIPCIÓN ANUAL DE SOFTWARE PARA LA GESTIÓN INTEGRAL DEL DIRECTORIO ACTIVO.

2         REQUISITOS DE ADMISIBILIDAD

2.1        La participación en el presente procedimiento de contratación pública implica la aceptación plena e incondicional de todas las disposiciones contenidas en el pliego de condiciones y sus anexos. La oferta presentada deberá cumplir íntegramente con los requisitos legales, técnicos, administrativos y formales establecidos en el presente pliego, así como con la normativa vigente en materia de contratación pública.

2.2        El oferente deberá aportar en su oferta una certificación emitida por el fabricante del software, en la que conste que la empresa es distribuidora autorizada en Costa Rica y que cuenta con el respaldo y soporte de la casa matriz. Dicha certificación deberá tener una fecha de emisión no mayor a un mes y no se aceptarán cartas dirigidas a otras instituciones.

2.3        El oferente deberá aportar en su oferta una certificación o documento equivalente que acredite que, durante toda la vigencia del contrato, contará con personal técnico certificado por el fabricante para atender incidentes relacionados con la herramienta ofertada.

2.4        El oferente deberá disponer en todo momento de al menos dos técnicos, en modalidad virtual o presencial, para atender los problemas o defectos que presente la suscripción de software durante el período contractual. Para acreditar lo anterior, deberá aportar el currículo de los técnicos propuestos.

2.5        El oferente deberá contar con experiencia en al menos dos proyectos similares desarrollados en los últimos 5 años en donde se haya implementado la herramienta ofertada. Para lo cual deberá completar y presentar el ANEXO 3 de este pliego.

1         ESPECIFICACIONES TÉCNICAS

1.1        Suscripción anual de software para la Gestión Integral del Directorio Activo, con las siguientes características técnicas, como mínimo:

1.1.1      La suscripción de software debe proveer una administración de Active Directory, Exchange Server SE o superior y Exchange Online (Microsoft 365) integrada en lo referente al Active Directory con reglas de negocio, roles administrativos, y una interfaz web de autoservicio para el usuario final (a ser utilizada en casos controlados por los administradores) que permita una administración eficiente y automatizada de las cuentas, buzones de correo y creación de áreas compartidas, así como de grupos.

1.1.2      La suscripción de software deberá poder administrar la cantidad total de objetos del Active Directory de producción de la institución, a saber: 3319 usuarios activos, 3439 cuentas de máquina, 3937 grupos y 4073 contactos.

1.1.3       Compatible con plataforma de virtualización VMware y Azure, en la que se pueda virtualizar Sistema Operativo y aplicación.

1.1.4      La instalación inicial y sus actualizaciones deben contar con un mecanismo simple y expedito de instalación que no requiera instalar agentes o componentes distintos a los provistos por la plataforma Microsoft.  Debe de utilizar los mecanismos propios provistos por el Active Directory.

1.1.5      No debe por el solo hecho de ser instalada afectar al Active Directory.

1.1.6      La suscripción de software ofertada debe permitir políticas basadas en reglas que aseguren que todas y cada una de las acciones administrativas realizadas sobre el Active Directory sean consistentes con las normas de seguridad del Cliente. Que se puedan definir roles que faciliten la auditoría, las asignaciones de permisos de acceso a usuarios y la administración global del Active Directory en forma integral, todo desde una sola consola de administración integrada con las herramientas nativas de Microsoft.

1.1.7      La suscripción de software debe contar con un motor de políticas centralizado que permita definir, aplicar y hacer cumplir reglas de negocio de forma persistente sobre los objetos del Directorio Activo, independientemente del origen de la operación (consola, scripts, LDAP, PowerShell o aplicaciones externas).

1.1.8      Deberá permitir asignar la administración de objetos del directorio activo a un mínimo de 400 funcionarios del Banco, que podrán ser Administradores, personal técnico o usuarios finales.

1.1.9      El software deberá proveer roles de administración predefinidos y deberá ofrecer la flexibilidad de que los administradores del Active Directory puedan crear los roles que consideren necesarios sin necesidad de la intervención de terceros. 

1.1.10   El software debe permitir la fácil implementación de “reglas” o similares a cualquier OU, grupo de usuarios o usuario específico. Estas reglas se deben poder definir en forma simple sobre cualquier atributo o conjunto de atributos de cualquier objeto de cualquier OU del Active Directory con condicionales que permitan lograr la estandarización en el Cliente.

1.1.11   Las reglas deben de tener la capacidad de poder incorporar scripts en VBscript o algún lenguaje similar de Microsoft que permita manejar condiciones y ejecuciones complejas requeridas por el Cliente.

1.1.12   Se deberá instalar y configurar la última versión estable del software.

1.2        Deberá hacer sesiones de transferencia de conocimiento dividido de la siguiente manera:

1.2.1      Sesiones para administradores de la suscripción de software, la duración de estas no será menor a 40 horas hábiles con un mínimo de 6 participantes, estas deberán ser sesiones virtuales dirigidas y con su respectivo laboratorio, debe incluir como mínimo la instalación, configuración y administración del producto.

1.2.2      Sesiones para personal técnico de mesa de ayuda y Línea 2, la duración no será menor a 20 horas, con un mínimo de 10 participantes, serán sesiones virtuales con laboratorio para cada participante donde pueda hacer uso de las facilidades que le corresponden.

1.3        El soporte técnico para atender consultas o averías sobre La suscripción de software ofertada deberá ser prestado por un equipo profesional que haya desarrollado o implementado el producto, con posibilidad de solicitar asistencia por diferentes medios (correo electrónico, página web o teléfono) en jornada ordinaria laboral del Banco (lunes a viernes de 8 a.m. a 6 p.m.), deseable 24 horas al día.

1.4        La suscripción debe permitir ejecutar lógica personalizada antes y después de cualquier operación sobre objetos del Directorio Activo (pre-commit y post-commit), permitiendo validar, modificar o bloquear cambios en tiempo real.

1.5        Que permita automatizar el aprovisionamiento de usuarios existentes y nuevos en entornos de Directorio Activo Microsoft.

1.6        Debe proveer una interfaz web, de forma tal que el administrador del Active Directory pueda definir permisos específicos a los administradores regionales o Help Desk del CLIENTE, de manera que estos puedan tener atributos restringidos de administrador en su OU, así como permitir actividades de autoservicio de usuario y de servicio de asistencia.

1.7        Que garantice la gestión de identidades del Directorio Activo Microsoft con alta disponibilidad apoyándose en:

1.7.1      Modelo de seguridad distribuida de forma granular basado en roles para la delegación del Directorio Activo Microsoft.

1.7.2      Automatización de la gestión del Directorio Activo Microsoft.

1.7.3      Flujos de trabajo basados en la aprobación.

1.7.4      Aplicación de normas de la institución.

1.7.5      La suscripción de software ofertada debe proveer una herramienta completa para satisfacer una amplia gama de necesidades de administración y aprovisionamiento del Active Directory del CLIENTE, incluyendo la centralización de las normas, características y atributos de cada OU, roles y esquemas de seguridad, así como la descentralización de la ejecución de las labores administrativas cotidianas que permitan una gestión eficiente para así responder a las necesidades cambiantes de negocios del CLIENTE en forma eficaz y rápida.

1.7.6      La administración de identidades en Microsoft 365 debe estar basada en el Directorio Activo como fuente de verdad, permitiendo la aplicación de políticas y automatizaciones centralizadas desde el mismo motor.

1.7.7      No debe requerir ningún software adicional pagado por separado para su implementación y debe ser administrado desde una sola consola.

1.7.8      Las vistas del directorio deben soportar definición dinámica basada en consultas LDAP y atributos, permitiendo la creación de unidades administrativas lógicas (no físicas) que agrupen objetos de múltiples dominios y OUs en tiempo real.

1.7.9      Debe de utilizar como motor de base de datos Microsoft SQL 2022 o superior, además debe de soportar configuraciones de SQL en modalidad de “Failover Cluster de Microsoft”, ya existentes en el BCCR, esto se solicita para mantener el funcionamiento de la herramienta en un posible incidente a nivel de Base de Datos.

1.8        Aspectos de Seguridad relacionados al manejo de cuentas en el Directorio Activo:

1.8.1      Para implementar el control eficiente sobre delegación y autorización de los permisos, la herramienta debe permitir la administración granular de la seguridad basada en roles, con el fin de reducir la posibilidad de acceso no controlado a los recursos de la institución.

1.8.2      Deberá permitir desarrollar flujos de trabajo para facilitar la aprobación y gestión de la pertenencia a grupos de seguridad, otorgando control a las personas responsables de las operaciones críticas.

1.8.3       Permitirá la delegación de permisos concedidos a los usuarios de forma automatizada durante el aprovisionamiento y desaprovisionamiento, evitando retrasos y errores de forma que la institución pueda estar segura de que los usuarios tienen exactamente los permisos que necesitan.

1.8.4         Debe proveer un mecanismo de vistas basadas en los criterios de negocios del CLIENTE para las OU administradas de forma tal que los administradores puedan manejar los objetos del directorio de una manera independiente y distinta a la estructura subyacente de Active Directory, mediante la agrupación de objetos que transcienden OU y dominios. Esto con el fin que los administradores puedan ver y diseñar una estructura administrativa del Active Directory que resulte más adecuada para la administración de los procesos de negocios del Clien

1.8.5      El software deberá proveer a los miembros del grupo Help Desk acceso a funciones administrativas del Active Directory, permitir a los usuarios y propietarios de datos del negocio actualizar datos seleccionados mediante la interfaz web fácil de usar, y controlada por roles, que le dé acceso a los objetos del Active Directory autorizados y que los restrinja de cambiar los objetos a los cuales no tienen permiso de administrar.

1.8.6      El modelo de delegación debe permitir asignar permisos administrativos basados en roles, combinados con alcances dinámicos definidos por atributos, sin requerir modificación de ACLs nativas del Active Directory.

1.8.7      La suscripción debe operar mediante una capa intermedia que abstraiga el acceso directo al Active Directory, evitando que los usuarios delegados requieran permisos administrativos nativos sobre el directorio.

1.8.8      Automatización en el aprovisionamiento y desaprovisionamiento de cuentas en el Directorio Activo

1.8.9      Con la finalidad de reducir la carga de trabajo al personal de TI asociada al aprovisionamiento de usuarios, gestión y desaprovisionamiento de usuarios, mantenimiento de pertenencia a grupos, administración de la seguridad, el cumplimiento de las políticas de seguridad y garantizar la integridad y consistencia de los datos de Active Directory, el software debe proporcionar funciones de automatización, permitiendo establecer medidas adicionales para ser ejecutadas antes o después de las operaciones específicas en función de ciertas reglas y funciones, permitiendo convertir tareas de gestión complejas del Directorio Activo en forma simple, reduciendo drásticamente la carga de trabajo de TI y del personal de mesa de ayuda.

1.8.10   Debe permitir el uso de patrones de generación automáticas con delimitaciones de formato para la creación y modificación de objetos, garantizando que los recursos del Directorio Activo cumplen con los estándares establecidos por la institución. De forma que el cumplimiento de esos estándares haga que el entorno del Directorio Activo sea coherente y uniforme, de forma que se simplifiquen el procesamiento de objetos del Directorio Activo y su búsqueda. Con un mecanismo de asignación granular, diferentes patrones pueden ser válidos para diferentes tipos de recursos en función de sus datos regionales o departamentales.

1.9        Control y Monitoreo

1.9.1      Para el control de las operaciones críticas e impedir su ejecución cuando no son deseadas, La suscripción de software debe dar la posibilidad de realizar operaciones específicas sólo después de que se conceda la aprobación de la persona autorizada.

1.9.2      Para la vigilancia general de las operaciones del Directorio Activo, el software debe mantener un registro de todas las operaciones realizadas con su ayuda en el Directorio Activo.  Con esta función de seguimiento, los administradores y los usuarios autorizados deben poder revisar todas las operaciones que se ejecutan en el dominio del Directorio Activo a través de la consola o acceso web que provea esta herramienta.

1.9.3      Para mantenerse informado sobre operaciones específicas del Directorio Activo, los administradores deben poder configurar el software para enviar notificaciones por correo electrónico cuando se realizan este tipo de operaciones, de forma que los administradores puedan estar en contacto con la situación en el dominio de Directorio Activo y reaccionar oportunamente a cualquier acción equivocada o maliciosa.

1.10    Acceso basado en web:

1.10.1   La suscripción de software debe permitir el acceso basado en web al Directorio Activo para el personal de TI, técnicos de soporte y los usuarios regulares, de forma que:

1.10.2   Los técnicos del servicio de asistencia cuenten con un ambiente de trabajo eficiente que se pueda personalizar para satisfacer sus necesidades específicas. 

1.10.3    Los usuarios regulares cuenten con una forma de realizar operaciones de autoservicio desde cualquier ubicación o mediante dispositivos móviles, permitiendo minimizar los retrasos relacionados con la imposibilidad de acceso al Directorio Activo.

1.11    Tareas Especializadas

1.11.1   La suscripción de software debe permitir la ejecución de comandos personalizados, de forma que los usuarios puedan realizar tareas de administración del Directorio Activo rutinarias y complejas con un solo clic:

1.11.2   La Interfaz Web debe poder configurarse para permitir a los usuarios realizar sólo las operaciones que necesitan y nada más.

1.11.3   Debe permitir a los usuarios ver únicamente los objetos específicos de Directorio Activo.

1.11.4   Personalizar formularios para la creación y edición de objetos.

1.11.5   No permitir la navegación completa del Directorio Activo y personalizar las capacidades de búsqueda.

1.11.6    Como resultado, se requiere que los usuarios obtengan una interfaz clara, sencilla e intuitiva, sin funciones innecesarias que puedan confundir o distraerles. Los usuarios sin experiencia no requieren saber que trabajan con el Directorio Activo o lo que este es.

1.11.7   Tareas programadas: Debe permitir realizar automáticamente varias tareas de administración del Directorio Activo de forma regular con la ayuda de tareas programadas, incluyendo:

1.11.8   Eliminación automática de usuarios inactivos y computadoras del Directorio Activo,

1.11.9   Sincronización del Directorio Activo con almacenes de datos externos,

1.11.10                   Actualizar dinámicamente la pertenencia a grupos de objetos del Directorio Activo y

1.11.11                   Mover de forma automática objetos del Directorio Activo entre unidades organizativas basada en reglas predefinidas.

1.11.12                   Gestión y Automatización de Office 365: Capacidad de administración de cuentas de Microsoft Office 365 y la gestión automatizada de los buzones de correo de Exchange Online.

1.12    Equilibrio de carga:

1.12.1   La suscripción de software debe permitir instalarse en varios servidores que compartan su configuración. Esto permitirá brindar un punto de acceso al servidor más cercano con el fin de evitar la sobrecarga del sistema, aumentar la utilización de segmentos de red y mejorar la respuesta del sistema.

1.13    Personalización de la página de inicio

1.13.1   La página de inicio web debe permitir ser personalizable de acuerdo con los requerimientos de la institución, por ejemplo, puede contener el panel de acciones, panel del Directorio Activo y de Departamentos, logotipos y mensajes propios de la institución.

1.14    Funcionalidad para el personal administrador:

1.14.1   El software debe permitir a los administradores organizar fácilmente y delegar y/o revocar de manera eficiente los permisos de usuario. 

1.14.2   Los permisos deben ser combinados en Roles de seguridad, fácilmente ajustables de forma independiente que permita a los usuarios o grupos, a los que están asignados, realizar un determinado conjunto de tareas. 

1.14.3   Contar con un flexible mecanismo de asignación que haga que la distribución de permisos sea más granular y segura.

1.14.4    Permitir a los administradores automatizar tareas de aprovisionamiento de usuario, tales como la creación de la carpeta de inicio para los nuevos usuarios, la creación de buzones de Microsoft Exchange Server SE o superior y hacer que los usuarios como los de Microsoft Office 365 sean habilitados, además de la asignación de permisos a los nuevos usuarios incluyéndolos de forma automática a grupos de seguridad que se hayan previamente establecido.

1.14.5    Automatización de la gestión relacionada con reaprovisionamiento y desaprovisionamiento asegurando una administración de alto rendimiento en todo el ciclo vital del usuario.

1.14.6   La herramienta debe permitir la automatización de tareas basada en eventos del directorio (creación, modificación, eliminación), ejecutando acciones configurables de forma automática.

1.14.7   Proporcionar mediante la interfaz web un ambiente de trabajo seguro, que permita acceder al Directorio Activo a través de la web, sin acceso directo a los servidores de la institución.

1.14.8   El software debe ser capaz de crear vistas específicas, permitiendo organizar los objetos del Directorio Activo de forma alternativa y permitiendo cumplir con características específicas de la institución de forma inmediata.

1.14.9   Mantener la estructura del Directorio Activo intacta permitiendo que las vistas habiliten la gestión colectiva de los objetos del Directorio Activo que cumplan con criterios específicos, simplificando significativamente la asignación de permisos y aprovisionamiento de las políticas, y la realización de mayor cantidad de operaciones y modificaciones.

1.14.10                   Las políticas definidas deben ser reutilizables, heredables y aplicables jerárquicamente a diferentes conjuntos de objetos sin necesidad de redefinirlas.

1.14.11                   Contar con un servicio de registro de seguimiento de todas las operaciones realizadas. De forma que los administradores pueden averiguar quién realizó las operaciones, qué se hizo, cuándo se hizo, en qué objetos se ejecutaron las acciones.

1.14.12                   Presentación de informes que faciliten el análisis y seguimiento, presentando la información en un formato comprensible que ayude a controlar el entorno del Directorio Activo de manera eficiente y presentar los datos necesarios para informar acerca de la gestión de la institución.

1.14.13                    Poder crear y administrar automáticamente los buzones de Exchange, listas de distribución y contactos habilitados para correo, proporcionando una cómoda interfaz basada en la web que pueda personalizarse para las necesidades de la institución y compatible con Microsoft Exchange Server SE o superior y Exchange Online (Office 365).

1.14.14                   Gestión del Directorio Activo con un módulo propio para PowerShell, permitiendo a los administradores, administrar el Directorio Activo desde la línea de comandos y utilizado para automatizar las tareas de administración del Directorio Activo

1.14.15                   Soporte SPML (Service Provisioning Markup Language) para intercambio de datos.

1.15    Funcionalidad para el personal de la mesa de ayuda:

1.15.1   Entorno web personalizable para mostrar sólo la funcionalidad necesaria para completar las tareas delegadas a la mesa de ayuda de la institución.  De manera que los operadores de mesa de ayuda reciban una interfaz clara y sencilla que excluya errores y confusiones.

1.15.2   Que los administradores puedan configurar políticas de aprovisionamiento, de manera que los técnicos del servicio de asistencia sólo tengan que realizar una operación sencilla que active  un procedimiento automatizado, y todas las demás operaciones vinculadas se realicen de forma automática, por ejemplo, cuando un usuario se traslada a otro departamento, el operador de mesa de ayuda sólo tiene que cambiar la propiedad del Departamento, y el usuario obtiene automáticamente los nuevos permisos, añadiéndolo al grupo necesario y lo cambia de Unidad Organizacional

1.15.3   Habilitar la entrada de datos simplificada, por ejemplo, los operadores del servicio de asistencia no tienen que introducir la misma información una y otra vez, en su caso, es establecido por defecto, generado automáticamente, o bien elegido de la lista de valores posibles.

1.15.4    Realizar diversas tareas de administración de Exchange Server SE o superior en el ámbito de sus responsabilidades de trabajo, como la creación automática de respuestas para los usuarios.

1.16    Funcionalidad para el personal regular:

1.16.1   Auto-actualización de información del usuario.  Por medio de la interfaz Web de forma que no deban esperar la actualización de su información de forma rápida y sencilla. Permitiendo que la información del Directorio Activo esté siempre ordenada y correcta, y los costos relacionados con las modificaciones de datos de los usuarios se reduzcan considerablemente.

1.16.2   Búsquedas de información. Para asegurar una comunicación eficiente dentro de la institución, los usuarios necesitan información acerca de sus compañeros de trabajo, etc. Para encontrar rápidamente toda la información necesaria, los usuarios deben poder usar la capacidad de búsqueda por medio de la Interfaz web.

1.17    Funciones Específicas del Software

1.17.1   Delegación de Permisos

1.17.1.1  Ocultar objetos de Active Directory a usuarios.

1.17.1.2  Conceder derechos para crear usuarios.

1.17.1.3  Conceder derechos para modificar las opciones de cuenta.

1.17.1.4  Permitir a los gerentes administrar sus equipos de trabajo.

1.17.1.5  Otorgar derechos de modificar la pertenencia a grupos de AD.

1.17.1.6  Conceder derechos para restablecer contraseñas y desbloquear cuentas.

1.17.1.7  Conceder derechos para crear y modificar las Unidades de Negocio.

1.17.1.8  Denegar derechos para eliminar usuarios.

1.17.1.9  Otorgar derechos para ejecutar comandos personalizados.

1.17.1.10             Concede derechos para modificar las propiedades específicas de los objetos de AD.

1.17.1.11             Otorgar derechos de mover usuarios entre las unidades organizativas.

1.17.1.12             Otorgar permisos para llevar a cabo tareas de Exchange server SE o superior.

1.17.1.13             Otorgar permisos para llevar a cabo tareas de administración de Office 365.

1.17.2   Automatización de las tareas diarias

1.17.2.1  Inclusión de un motor nativo para la ejecución de flujos lógicos en horarios específicos.

1.17.2.2  Automatizar la creación del directorio de inicio del usuario.

1.17.2.3  Cambio de membresía de directorios de inicio después de deshabilitar usuarios.

1.17.2.4  Añadir automáticamente usuarios a los grupos por departamento.

1.17.2.5  Añadir usuarios a un grupo específico cuando se desactivan.

1.17.2.6  Automáticamente cambiar la pertenencia al grupo por medio del uso de scripts.

1.17.2.7  Mover los nuevos usuarios a una unidad organizativa específica.

1.17.2.8  Aprobación Solicitud de eliminación de usuario.

1.17.2.9  Ejecutar script de PowerShell después de crear un usuario.

1.17.2.10              Automatizar la creación de buzones de Exchange Server SE o superior o Exchange Online para los nuevos usuarios.

1.17.2.11              Automatizar la configuración de buzones de Exchange Server SE o superior o de Exchange Online.

1.17.2.12             Asignar automáticamente Licencias de Office 365.

1.17.2.13             Activar automáticamente a los usuarios de Microsoft Teams.

1.17.2.14             Programar tareas para la gestión de AD.

1.17.2.15             Ajustar automáticamente la ruta del perfil de Servicios de Escritorio remoto.

1.17.2.16             Enviar e-mail cuando se agregan miembros a grupos específicos.

1.17.2.17             Eliminar equipos inactivos de Active Directory.

1.17.2.18             Desabastecer automáticamente a los usuarios de AD inactivos.

1.17.3   Simplificar la entrada de datos

1.17.3.1  Auto-completar el nombre de la empresa al crear usuarios.

1.17.3.2  Cambio de plantilla para autogeneración de usuarios por su nombre completo.

1.17.3.3  Especificar la lista de departamentos para evitar escribir de forma repetitiva.

1.17.3.4  Hacer que el ID de empleado sea una propiedad requerida y especificar su formato.

1.17.3.5  Establecer opciones de cuenta por defecto para los nuevos usuarios.

1.17.3.6  Controlar mediante un script (Validar/modificar) la información digitada por el usuario mediante un script.

1.17.3.7  Predefinir la selección de almacenes de buzones de Exchange Server SE o superior.

1.17.3.8  Ajustar automáticamente el valor de la fecha de caducidad para los nuevos usuarios.

1.17.3.9  Generar contraseña inicial en la creación de usuarios.

1.17.3.10             Configurar automáticamente la dirección de los usuarios en función de su oficina.

1.17.3.11             Proporcionar ayuda personalizada y consejos para las propiedades de objeto de AD.

1.17.4   Administración de Active Directory

1.17.4.1  Ver y administrar los objetos de Active Directory colectivamente.

1.17.4.2  Crear comandos personalizados.

1.17.4.3  Cambiar el nombre de varios usuarios de AD con una sola operación.

1.17.4.4  Restablecer contraseñas para varios usuarios.

1.17.4.5  Importación de cuentas de usuario desde un archivo CSV.

1.17.4.6  Programar la importación de usuarios desde un archivo CSV.

1.17.4.7  Modificar la configuración de Servicios de Escritorio remoto de forma masiva.

1.17.4.8  Actualizar opciones de la cuenta de usuario de forma masiva.

1.17.4.9  Actualizar varios objetos de AD utilizando PowerShell.

1.17.4.10             Ver las operaciones que se realizan de forma integrada dentro del software.

1.17.4.11              Configurar deshabilitación de usuarios.

1.17.5   Personalización de la interfaz Web

1.17.5.1  Permitir Logotipo y colores y diseños personalizados.

1.17.5.2  Personalizar formularios para la creación y edición de usuarios.

1.17.5.3  Personalizar la página de inicio de sesión y las opciones de nombre.

1.17.5.4  Evitar que los usuarios puedan ver la estructura de Active Directory.

1.17.5.5  Permitir / denegar el acceso a la interfaz web.

1.17.5.6  No permitir ciertas operaciones en objetos de Active Directory.

1.17.5.7  Personalizar la página de inicio.

1.17.5.8  Configurar acciones de página Inicio.

1.17.5.9  Configurar el panel de Active Directory.

1.17.5.10             Personalizar la búsqueda de Active Directory.

1.17.5.11             Configurar tareas de Exchange server SE o superior.

1.17.5.12             Ocultar informes de Active Directory específicos.

1.17.5.13             Desactivar componentes de la interfaz Web específicas.

1.17.5.14             Seleccionar los tipos de objetos de AD que se mostrará en la interfaz de usuario.

1.17.5.15             Administrar objetos personalizados de Active Directory.

1.17.5.16             Configurar columnas en listas de objetos de Active Directory.

1.17.5.17             Permitir el uso de plantillas para la creación de usuarios.

1.17.5.18             Personalizar los enlaces de ayuda y soporte técnico.

1.17.5.19             Crear interfaces web adicionales.

1.17.6   Configuración avanzada de la herramienta para la Gestión Integral del Directorio Activo, con los siguientes requerimientos:

1.17.6.1  Para los administradores y subadministradores de grupo se requiere una interfaz web dentro de la herramienta con las siguientes características:

1.17.7   Acceso del administrador del grupo

1.17.7.1  El acceso a esta interfaz se dará de forma automática a todos los funcionarios que estén asignados como administradores de algún grupo del directorio activo.

1.17.7.2  Una vez dentro de la interfaz al usuario se le desplegarán todos los grupos de los cuales sea administrador.

1.17.7.3  Los datos que deberá mostrar al usuario para identificación del grupo serán el nombre, descripción y el tipo del grupo.

1.17.7.4  El usuario deberá poder seleccionar un grupo y administrar las membresías de este, es decir el usuario selecciona un grupo y podrá agregar o quitar miembros de este.

1.17.8   Plantilla automática para sub administradores de grupos.

1.17.8.1  Cada vez que se asigne un usuario como administrador de un grupo deberá crearse o modificarse una plantilla única de acceso, creada para cada uno de los administradores la primera vez que se le asigne administración de un grupo y para cada grupo adicional sobre el que se asigne administración a un usuario, la plantilla única deberá modificarse agregando el nuevo grupo dentro de su lista de grupos administrados.

1.17.8.2  Cada vez que sea creada una plantilla única, se deberá crear un grupo en el AD cuyo nombre será similar a la plantilla única, este grupo será utilizado para dar permisos de administración a los grupos de un Administrador de grupos y sus miembros serán los sub administradores de todos los grupos indicados en la plantilla única.

1.17.8.3  El administrador de grupos podrá modificar la membresía del grupo de sub administradores de sus grupos.

1.17.8.4  Cada vez que se crea una plantilla única y su grupo de administración, se deberá crear una vista con los permisos necesarios para la administración de membresías de grupos, dichos permisos serán asignados al grupo de sub administradores.

1.17.9   Accesos a sub administradores de grupo

1.17.9.1  En la interfaz operativa de cada usuario se mostrarán los objetos a los cuales tiene permisos y se mostrarán todos los grupos de los cuales es subadministrador.

1.17.9.2  Los grupos subadministrados deberán mostrarse con agrupaciones de grupos de cada administrador, es decir, si un funcionario es subadministrador para dos administradores de grupos diferentes, se deberán mostrar dos agrupaciones independientes, una por cada administrador, y dentro de cada una de estas agrupaciones se mostrarán los grupos subadministrados.

1.17.9.3  Los sub administradores podrán modificar la membresía de cada uno de los grupos sub administrados.

1.18    Para las pruebas el oferente deberá contar con un laboratorio donde se pueda observar a profundidad la operación de la herramienta junto a la personalización efectuada o en su defecto el oferente podrá instalar en el ambiente de pruebas del Banco una versión de la herramienta de gestión del directorio activo que incluya la personalización donde ambas partes podrán efectuar las pruebas finales para poder efectuar la recepción definitiva de esta línea.

1.19    ARQUITECTURA Y FUNDAMENTOS DEL SISTEMA

1.19.1   Arquitectura sin Agentes (Agentless): La herramienta no debe requerir la instalación de agentes en los Controladores de Dominio para el aprovisionamiento, gestión o aplicación de reglas de negocio.

1.19.2   Alta Disponibilidad y Escalabilidad: Debe soportar una configuración de múltiples servidores de administración compartiendo una base de datos de configuración centralizada (SQL Server), permitiendo redundancia y balanceo de carga nativo.

1.20    DELEGACIÓN Y CONTROL DE ACCESO (RBAC)

1.20.1   Plantillas de Acceso (plantillas de permisos): La delegación de permisos debe realizarse mediante un modelo de plantillas lógicas que definan permisos granulares (incluso a nivel de atributo). Estas plantillas se deben aplicar sobre contenedores u objetos sin modificar las Listas de Control de Acceso (ACL) nativas del sistema operativo.

1.20.2   Unidades Administradas Virtuales: Capacidad de crear fronteras administrativas basadas en consultas dinámicas y atributos. El sistema debe permitir agrupar objetos de diferentes dominios u OUs de forma lógica para su administración delegada, sin mover los objetos de su ubicación física en el directorio.

1.20.3   Atributos Virtuales: La suscripción debe permitir la creación de atributos personalizados que residan exclusivamente en la base de datos de la herramienta. Estos deben poder utilizarse en flujos de trabajo, interfaces web y políticas de seguridad sin necesidad de extender el esquema (Schema) de Active Directory.

1.21    MOTOR DE POLÍTICAS Y AUTOMATIZACIÓN TRANSACCIONAL

1.21.1   Control de Intercepción (Pre-Commit y Post-Commit): El motor de reglas debe ser capaz de interceptar una petición y ejecutar lógica de validación antes de que el cambio se escriba en el directorio (Pre-Commit), permitiendo rechazar o modificar la transacción si no cumple con las políticas. Asimismo, debe poder disparar acciones automáticas inmediatamente después de confirmada la escritura (Post-Commit).

1.21.2   Generación Automatizada de Datos: Capacidad de definir reglas de negocio para la generación automática de atributos (ej. nombres de cuenta, UPN, correos) basados en patrones predefinidos y scripts de validación que garanticen la integridad de los datos.

1.21.3   Grupos Dinámicos (Query-based Groups): El sistema debe poder gestionar la membresía de grupos de forma automática mediante reglas de consulta. La inclusión o remoción de un usuario en un grupo debe ocurrir en tiempo real basándose en el cumplimiento de sus atributos o en conjunto de varios atributos. (ej. Departamento, Ciudad, Cargo).

1.22    GESTIÓN DE FLUJOS (WORKFLOWS) Y PROCESOS

1.22.1   Flujos de Aprobación Multietapa: Capacidad de condicionar operaciones críticas a la autorización de uno o más aprobadores. El sistema debe soportar flujos de aprobación específicos para la creación de cuentas, cambios de atributos sensibles o solicitud de pertenencia a grupos.

1.22.2   Flujos de Acción Automatizados: El sistema debe permitir la orquestación de tareas encadenadas. Al realizar una acción primaria (ej. cambio de cargo), el sistema deberá poder ejecutar automáticamente acciones secundarias (ej. mover de unidad organizativa, reasignar licencias y actualizar listas de distribución y/o grupos de seguridad).

1.22.3   Tareas Programadas (Scheduled Workflows): Inclusión de un motor nativo para la ejecución de flujos lógicos en horarios específicos, permitiendo la automatización de tareas de mantenimiento, reportes de cumplimiento y limpieza de cuentas inactivas.

1.23    SERVICIO DE SINCRONIZACIÓN (SYNCHRONIZATION SERVICE)

1.23.1   Integración Multifuente: La suscripción debe incluir un componente de sincronización capaz de conectar al Software ofertado con fuentes de datos externas (Bases de Datos SQL, archivos CSV, sistemas de RR.HH.).

1.23.2   Mapeo y Transformación de Identidades: Capacidad de realizar transformaciones de datos durante el proceso de sincronización con fuentes de datos externas, mediante reglas lógicas integradas, permitiendo que las fuentes externas de datos puedan utilizarse para aprovisionar cuentas de usuario.

1.24    GESTIÓN HÍBRIDA Y FEDERACIÓN

1.24.1   Administración Unificada de Microsoft 365 / Entra ID: Gestión nativa de objetos en la nube, incluyendo el aprovisionamiento de buzones en Exchange Online, gestión de licencias de Office 365 y activación de servicios (Teams, OneDrive) desde la misma consola administrativa.

1.24.2   Federación Web (SAML 2.0): El acceso a los portales web de administración y autoservicio debe soportar autenticación federada mediante el protocolo SAML 2.0 o superior. Esto debe permitir la integración con el Identity Provider (IdP) de la institución para habilitar Single Sign-On (SSO) y autenticación de múltiples factores (MFA).

1.25    INTERFACES Y AUDITORÍA

1.25.1   Interfaz Web Personalizable por Rol: Provisión de consolas web diferenciadas para administradores, personal de soporte y autoservicio de usuarios. La interfaz debe ocultar automáticamente las opciones y objetos para los cuales el usuario no tiene permisos delegados (Security Trimmed UI).

1.25.2   Historial de Gestión y Trazabilidad: Registro detallado de todas las operaciones realizadas a través de la herramienta, incluyendo el valor anterior y el valor nuevo del objeto modificado, la identidad del autor y la política o flujo que autorizó el cambio.

1.26    El Banco Central cuenta actualmente con un software para la Gestión Integral del Directorio Activo conocida como One Identity Active Roles. Para esta, el oferente podrá presentar la oferta de suscripción del software existente; el oferente que desee participar con un software distinto al que ya posee el Banco en funcionamiento deberá considerar lo siguiente:

1.27    Deberá ejecutar la instalación y migración de todas las funcionalidades que ya el Banco tiene actualmente funcionando.

1.28    Deberá migrar al menos para un año, toda la información de control de cambios que posee la herramienta que actualmente utiliza el Banco.

1.29    Reporte y atención de fallas:

1.29.1   El personal de soporte técnico del Banco clasificará, bajo su único criterio, las solicitudes de soporte según los criterios establecidos en la siguiente tabla:

Nivel de Prioridad	Descripción
1 – Crítica	1.      La falla ha causado una completa e inmediata paralización de los servicios prestados. No está disponible una solución temporal. 2.      La herramienta no está disponible en la ventana horaria crítica para el servicio. 3.      La herramienta no responde, causa retrasos indefinidamente;  el sistema no responde adecuadamente después de intentos para reiniciarlo.
2 – Alta	1.      Las funciones de la herramienta están severamente degradadas, múltiples usuarios finales son impactados. Una medida temporal puede estar disponible, sin embargo la medida no es fácilmente sostenible. 2.      El Banco experimenta una pérdida severa del servicio. No está disponible ninguna alternativa o “workaround” aceptable, sin embargo, la operación puede continuar en una forma restringida. Debe ser atendido bajo la modalidad de trabajo de horario normal del contratista hasta que la solicitud sea resuelta o se pueda llevar a un punto útil para continuar.
3 – Media	La herramienta está degradada, pero una medida temporal puede estar disponible.
4 – Baja	Un incidente que tiene un pequeño impacto en los servicios provistos y puede ser manejado en forma planificada. Una medida temporal está disponible, pero no constituye resolución para propósito del nivel de servicio.

1.29.2   Para efectos de reporte de fallas, el contratista se compromete a cumplir con los siguientes tiempos de atención y de diagnóstico:

1.29.3   El oferente debe indicar el procedimiento a seguir para hacer el reporte de las fallas de software cubiertas por garantía.

1.29.4 Para efectos de reporte de fallas, el contratista se comprometa a cumplir con los siguientes tiempos de atención y de diagnóstico:

Prioridad	Medida del Servicio	Rango de atención
Cualquier prioridad	Tiempo de diagnóstico	< 4 horas naturales
Prioridad 1 – Crítica	Tiempo de atención	< 30 minutos naturales
Prioridad 2 – Alta	Tiempo de atención	< 1 hora natural
Prioridad 3 – Media	Tiempo de atención	< 2 horas naturales
Prioridad 4 – Baja	Tiempo de atención	El Banco y el proveedor acuerdan una fecha razonable de resolución del problema bajo horario normal de trabajo del Banco.

1.29.5   Debe entenderse como tiempo de atención el tiempo máximo que puede transcurrir entre el reporte de fallas del software y el momento en que inicia la atención presencial o remota por parte de personal del proveedor.

1.29.6   El administrador del contrato se reserva el derecho de otorgar o denegar un plazo mayor, previa presentación —en forma escrita— de la correspondiente justificación por parte del contratista.

1.29.7   Para estos efectos, el horario hábil del Banco es de 8:00 hrs a las 18 hrs de lunes a viernes, no se labora ni feriados de ley o asuetos dados por la Junta Directiva del Banco.

1.29.8   El soporte técnico se brindará por expresa solicitud de la administración o como resultado del monitoreo sobre el software.

1.30    El oferente deberá proveer, a solicitud del Banco cuando este así lo requiera o mediante el uso de un sitio web de soporte, un informe donde se indique lo siguiente:

1.30.1   Verificar el tipo de mantenimiento asociado con un software adquirido por el banco.

1.30.2   Llevar el control de las solicitudes e incidentes planteados por el banco con relación a fallas en el software

1.30.3   Verificar las fechas de inicio y de fin de garantía del software adquirido.

1.30.4   Derecho a obtener la llave de instalación del/los productos(s) directamente del fabricante, cuando aplique.

1.31    Instalación y puesta en marcha:

1.31.1   El oferente no podrá exceder los Siete (7) días hábiles para iniciar la instalación, contados desde el día hábil siguiente a la entrega de la suscripción del software.

1.31.2   El plazo de entrega definitiva se regirá de acuerdo con el cronograma detallado que entregó el oferente como parte de la oferta.

1.31.3   El contratista debe presentar un cronograma de las actividades necesarias para llevar a cabo la instalación de La suscripción de software junto con su configuración básica y avanzada en el BCCR.

1.31.4   Dicho cronograma no puede excederse de 40 días hábiles de un recurso trabajando a tiempo completo a partir del inicio de la implementación.

1.31.5   Para el caso de las actividades necesarias para la instalación y configuración de La suscripción de software, estas deben ser realizadas por personal calificado del contratista o de la casa matriz de la suscripción del software ofertado. Para este caso, se considera válida la asistencia remota por parte de personal de la casa matriz.

1.31.6   De ser necesario se deberá ejecutar la migración de las funcionalidades existentes.

1.31.7   De ser necesario se deberá ejecutar la migración del historial de cambio al menos para un año.

1.31.8   El rubro de la instalación y configuración tanto básica como avanzada debe ser incluido dentro del costo de La suscripción de software

4         CONDICIONES GENERALES

4.1        LUGAR Y PLAZO DE ENTREGA:

4.1.1      La entrega de la suscripción anual de software para la gestión integral del Directorio Activo se realizará por medios electrónicos, mediante la remisión de las llaves de activación, certificados de derecho de uso, credenciales, accesos, confirmaciones de habilitación, documentación técnica o cualquier otro medio oficial dispuesto por el fabricante o canal autorizado que permita acreditar la disponibilidad efectiva de la suscripción adquirida

4.1.2      La recepción será coordinada por el Administrador del Contrato o por quien este designe, quien verificará que la suscripción solicitada haya sido debidamente habilitada, que se encuentre vigente, que incluya el soporte y mantenimiento correspondiente, y que se haya entregado la documentación necesaria para acreditar el cumplimiento del pedido. El plazo de entrega se tendrá por cumplido únicamente cuando el Banco cuente con la evidencia suficiente de activación, disponibilidad o derecho de uso de la suscripción solicitada.

4.1.3      La entrega no implicará instalación física de bienes en las instalaciones del Banco, salvo que, por la naturaleza del pedido o por requerimiento técnico de la Administración, se soliciten actividades complementarias de instalación, configuración, acompañamiento técnico o transferencia de conocimiento, las cuales deberán coordinarse previamente con el Administrador del Contrato.

4.1.4      El contratista contará con un plazo máximo de siete (7) días hábiles para realizar la entrega de la suscripción anual de software, contado a partir del día hábil siguiente a la notificación de la orden de pedido correspondiente.

4.2        GARANTÍA SOBRE EL OBJETO CONTRACTUAL: Debe incluirse el derecho a las actualizaciones y resolución de incidentes producto de fallas del software ofertado por un periodo mínimo de un (1) año.

4.3        SUBCONTRATACIÓN:

4.3.1      Cuando resulte necesario, el oferente podrá subcontratar hasta un 50% del monto ofertado, únicamente para la ejecución de actividades especializadas. Esta subcontratación no exime al contratista de su responsabilidad frente a la Administración.

4.3.2      Para tal efecto, el oferente deberá adjuntar el detalle de las actividades que pretende subcontratar, indicando el monto, el porcentaje de participación dentro del costo total de la oferta y el nombre del subcontratista correspondiente. Asimismo, deberá aportar certificación de los titulares del capital social y de los representantes legales de la empresa o empresas subcontratistas, a fin de verificar el cumplimiento del régimen de prohibiciones.

4.3.3      Cada subcontratista solo podrá participar en una oferta dentro de este concurso. Si varios oferentes requieren subcontratar a una misma persona física o jurídica, deberá acreditarse que existe un número limitado de subcontratistas en el mercado para el objeto contractual correspondiente.

4.4        OFERTAS EN CONSORCIO:

4.4.1      Cuando se presenten ofertas en consorcio, las empresas integrantes deberán cumplir las condiciones de admisibilidad y los requisitos establecidos en el pliego de condiciones, como si actuaran como un solo oferente, y responderán solidariamente por la totalidad de la oferta.

4.4.2      Dado que el BCCR utiliza SICOP para sus procedimientos de contratación, las personas físicas o jurídicas que oferten en consorcio deberán constituirlo en dicha plataforma y obtener el número de consorcio correspondiente. De no hacerlo, la oferta no podrá considerarse consorcial, aunque se aporte como anexo un acuerdo consorcial.

4.4.3      La oferta deberá responder todos los requerimientos del pliego de condiciones e indicar con claridad la experiencia y demás requisitos aplicables, así como cuál integrante del consorcio acredita cada uno.

4.4.4      En todos los casos, deberá presentarse el acuerdo consorcial debidamente firmado por las partes, en el cual se identifiquen sus integrantes y las obligaciones que asumirá cada uno.

4.4.5      Todos los miembros del consorcio serán solidariamente responsables.

4.4.6      Para efectos de esta licitación, cuando no exista una figura jurídica que formalice el consorcio, quien presente la oferta en el Sistema Integrado de Compras Públicas (SICOP) actuará como enlace ante el BCCR para todo lo relacionado con esta contratación.