FortiAnalyzerのマクロは、レポートで使用される事前定義済みまたはカスタムのクエリテンプレートであり、ADOM（管理ドメイン）ごとに整理されています。ADOMを使用する場合は、マクロを作成または管理するために適切なADOMにいる必要があります。これは、マクロがADOM固有のものであり、そのADOMに関連するデバイスの種類やデータセットに合わせて調整されていることを示しています。
https://docs.fortinet.com/document/fortianalyzer/7.6.3/administration-guide/617380/creating-macros

抜粋：学習ガイド19～20ページ：セキュリティファブリックのルート/上流FortiGateの関係は、トラフィックとUTMログの相関関係に影響します。
技術的な詳細解説：正解はBです。出力結果から、FGT_Bがセキュリティファブリックのルートとして機能していることがわかります。セキュリティファブリックのログ記録において、FortiAnalyzerはファブリックの関係性を利用してログを関連付け、重複したトラフィックログ記録を回避します。その他のオプションは、出力結果では裏付けられない結論を導き出します。例えば、隔離ファイルへのディスククォータの割り当て、正確なADOMディスククォータサイズ、アーカイブと分析の使い分けなどには、明示的なストレージラインが必要です。
Fabricのルート結論とは、表示されているFabricの関係情報によって直接裏付けられている結論のことです。

正確な抜粋：学習ガイド39～41ページ：ログは最初に保存され、パーサーを使用して生のログを標準化されたフィールドに正規化する必要があります。
技術的な詳細解説：正解はCです。FortiAnalyzerは、一致するパーサーが見つからないという理由だけでログを破棄することはありません。受信したログはFortiAnalyzerのログワークフローに保存されます。ただし、正規化には、フィールドを抽出してFortiAnalyzerの共通スキーマにマッピングできるパーサーが必要です。
そのパーサーがない場合、ログは保存されますが正規化されません。オプションAは破壊的すぎます。オプションBは汎用パーサーが自動的に適用されることを前提としています。オプションDは、ストレージ/アーカイブの状態とパーサーの可用性を混同しています。

学習ガイド p.211: 出力変数は、前のタスクの出力を現在のタスクへの入力として使用します。
技術的な詳細解説：正解はBです。図では、アナリストが生成されたレポート識別子など、以前のタスクの出力を参照し、後続のタスクでその結果をインシデントに関連付けている様子が示されています。これは出力変数です。トリガー変数は、プレイブックを開始したイベントまたはインシデントから値を取得します。アナリストはレポートオブジェクト自体を作成しているわけでも、SOCレポート定義を作成しているわけでもありません。レポートタスクは既にデータを生成しており、現在のタスクはその出力を動的に利用しています。