リモート ユーザーまたはオフファブリック ユーザーの ZTNA アクセスにユーザー認証を追加するには、ZTNA に加えて次の FortiGate 機能が必要です。
* FortiGate 明示的プロキシにより、FortiGate は認証の目的で Web トラフィックを傍受できるようになります。
* ZTNA はさまざまな FortiGate 機能と統合して安全なアクセスを提供し、リソースにアクセスする前にユーザーが認証されることを保証します。
* 明示的なプロキシを使用することで、FortiGate は Web トラフィックを処理し、企業ネットワークに直接接続されていない (ファブリック外の) リモート ユーザーに対して認証ポリシーを適用できます。
したがって、この要件に使用する適切な機能は、FortiGate 明示的プロキシです。
参考文献
* FortiGate Security 7.2 学習ガイド、ZTNA およびプロキシ構成セクション
* FortiGate 明示的プロキシと ZTNA 統合に関する Fortinet のドキュメント

FortiClient EMS 7.2/7.4 管理ガイドおよびシステム設定プロファイルの提供された展示に基づいて、無効な証明書接続の予想される動作は、無効な証明書アクション設定によって決定されます。
1. 展示物の分析
* 場所:展示では、システム設定プロファイル (具体的には「デフォルト」プロファイル) が表示されます。
* 設定:エンドポイント制御セクションの下部で、無効な証明書アクションフィールドが構成されます。
* 選択されたアクション: 無効な証明書アクションのドロップダウンには警告アイコン（感嘆符付きのオレンジ色の三角形）が表示されます。FortiClient EMS GUIでは、このアイコンは
「警告」アクション。
2. 検証済みの行動（オプションC）
エンドポイント通信セキュリティに関するカリキュラム文書によると、
* 警告アクションの動作:無効な証明書アクションが警告に設定されている場合、EMS サーバー証明書が信頼されていない、期限が切れている、またはホスト名が一致しない場合に、FortiClient はエンド ユーザーに警告メッセージを表示するように指示されます。
* ユーザープロンプト: 警告メッセージは、セキュリティ上のリスクがあるにもかかわらず接続を続行するか、試行を終了するかをユーザーに明示的に尋ねます。
* 接続ロジック: ユーザーが手動で警告を受け入れると、FortiClient はテレメトリ接続を確立し、その特定のサーバーに対するプロンプトが繰り返し表示されるのを避けるために、将来のセッションのために証明書を「記憶」します。
3. 他の選択肢が間違っている理由
* A. FortiClient がブロックされています: この動作は、管理者がプロファイルで「拒否」アクションを選択した場合にのみ発生します。
* B. 追加のパスワードが必要: 展示の上部に表示されているパスワード フィールドは、「EMS から切断するにはパスワードが必要」用であり、ユーザーが手動で登録解除することを防ぎますが、証明書エラーを回避または解決するものではありません。
* D. EMS は有効な証明書をプッシュします:EMS は、失敗した TLS ハンドシェイクを解決するために有効な ID 証明書を「プッシュ」することはできません。有効な証明書は、管理者が EMS サーバーに手動でインストールする必要があります。

Microsoft ADグループポリシー経由でFortiClientを導入する場合、導入パッケージが対象グループに正しく割り当てられていることを確認することが重要です。インストール後にカスタム構成が表示されない場合、いくつかの原因が考えられますが、最も可能性の高い原因は次のとおりです。
* 導入パッケージの割り当て：FortiClientパッケージは、グループポリシー管理で適切なグループに割り当てる必要があります。この手順を省略した場合、インストールは続行されますが、カスタム構成は適用されません。
したがって、管理者は、すべてのカスタム構成が含まれるように、FortiClient パッケージがグループに正しく割り当てられていることを確認する必要があります。
参考文献
* FortiClient EMS 7.2 学習ガイド、導入とインストールのセクション
* Microsoft AD グループ ポリシーを使用した FortiClient の導入に関する Fortinet のドキュメント

* ZTNAトラフィックログの観察:
* ログ メッセージは、プロキシ ポリシーに一致しなかったため、リモート ユーザー接続が拒否されたことを示します。
* ログメッセージを評価しています:
* メッセージは、接続が既存の ZTNA ルール構成と一致していないことを示しており、拒否につながっています。
* 結論：
* ログ メッセージからの正しい結論は、リモート ユーザー接続が ZTNA ルール構成と一致していないということです (B)。
参考文献:
学習ガイドからの ZTNA トラフィック ログ分析および構成ドキュメント。

* 展開プロファイル分析:
* Deployment-1 には「初回インストール」パッケージがあり、優先度 1 で「すべてのグループ」に割り当てられていますが、有効になっていません。
* Deployment-2 には「To-Upgrade」パッケージがあり、「すべてのグループ」と「trainingAD」の両方に割り当てられています。
「training.lab」というファイルが作成され、優先度は 2 に設定され、有効になっています。
* 展開2の評価:
* 展開2では、「すべてのグループ」と「trainingAD.training.lab」の両方のFortiClientが有効化され、これらのグループに割り当てられているため、両方のグループでFortiClientをアップグレードします。これにはAD（Active Directory）グループとワークグループの両方が含まれます。
* 結論：
* Deployment-2 は、割り当てられたすべてのグループとワークグループで FortiClient をアップグレードするように設定されているため、正解は A です。
参考文献:
学習ガイドからの FortiClient EMS の展開およびプロファイルのドキュメント。