質問の重要な部分は、一部のユーザーは接続でき、一部のユーザーは接続できないという点です。これは、ファイアウォール ポリシーの問題ではなく、クライアント側の接続の問題であることを強く示唆しています (ポリシーはトンネルが確立された後にのみ適用されます)。
SSL-VPN の場合、ユーザーが接続に失敗したときに最初に確認する必要があるのは、正しい接続設定 (特にポート) を使用しているかどうかです。

ファイアウォール ポリシーが作成されると、そのポリシー ID は固定され、変更できなくなります。この ID は、FortiGate 構成内でポリシーを一意に識別します。

IPプールタイプを「1対1」に設定すると、プール内のパブリックIP（192.2.0.10～192.2.0.11）と同じ数の内部ホストのみがNATを使用できます。タイプを「オーバーロード」に変更すると、すべての内部ホスト（PC3を含む）が利用可能なパブリックIPを共有できるようになり、PC3はインターネットにアクセスできるようになります。
あるいは、1 対 1 を維持しながらプールを 192.2.0.10 ～ 192.2.0.12 に拡張すると、別のパブリック IP が追加され、3 番目の内部ホスト (PC3) をマップしてインターネットにアクセスできるようになります。

HA オーバーライドが有効になっている場合、FortiGate は次の選択順序を使用します: 接続されている監視対象ポートの数、デバイスの優先度、HA の稼働時間、最後に FortiGate のシリアル番号 (タイブレーカーとして)。

AWS 向け FortiGate クラウドネイティブ ファイアウォール (CNF) アーキテクチャでは、顧客 VPC 内のワークロード (EC2 インスタンスなど) からのトラフィックは、AWS ゲートウェイ ロードバランサ (GWLB) テクノロジーを使用してセキュリティ サービス (FortiGate CNF) にリダイレクトされます。
ワークロードトラフィックを GWLB に誘導するために、顧客の VPC 内に存在する必要がある主要な AWS コンポーネントは次のとおりです。
ゲートウェイ ロード バランサ エンドポイント (GWLBe)
このエンドポイントは、顧客の VPC ルートが指すもの (たとえば、デフォルト ルートまたはサブネット ルート エントリ) であり、EC2 トラフィックに対する FortiGate CNF 検査パスの透過的な挿入を可能にします。
他のオプションが正しくない理由:
A: CNF は「顧客 VPC を作成」しません (つまり、顧客が所有します)。ここで作成される関連する項目は「GWLBe」のみであり、VPC 全体ではありません。
C: 顧客 VPC は CNF によって作成されず、GWLB は通常 CNF サービス側の一部です。質問では具体的に、EC2 インスタンスからのトラフィックを処理するために何を作成する必要があるのか​​を尋ねています (顧客 VPC に GWLBe が必要です)。
D: CNF は顧客の VPC にインターネット ゲートウェイ (IGW) を作成しません。また、IGW はトラフィックを FortiGate CNF に誘導するために必要な CNF 作成コンポーネントではありません。