質問番号:22
検証済みの回答：D
FortiNAC-F Administratorライブラリおよび最新バージョン（F 7.2、7.4、7.6を含む）のドキュメントから、完全に一致する抜粋を含む、包括的かつ詳細な説明（各250～300語）：
FortiNAC-Fでは、ゲストアカウントまたは契約者アカウントの有効期限は、アカウント作成ウィザードの設定と関連付けられたゲスト/契約者テンプレートによって決定されます。テンプレートではデフォルトの「アカウント期間」（2番目の図の12時間設定を参照）を定義できますが、アカウント作成ウィザードを使用すると、管理者は特定のユーザーセッションの開始および終了パラメータを手動で指定または上書きできます。
FortiNAC-F 管理ガイドのゲスト管理に関する説明によると、アカウント作成ウィザードの「アカウント終了日」フィールドは、アカウントオブジェクトがシステムから無効化または削除される確定的なタイムスタンプです。提供されている図（アカウント作成ウィザード）では、管理者が「アカウント開始日」を 2025/09/12 08:00:00、「アカウント終了日」を 2025/09/13 17:00:00 に明示的に設定しています。
テンプレートでは「アカウント期間」が12時間と表示されていますが、この値は通常、あらかじめ入力されたデフォルト値です。ウィザードで日付と時刻を手動で入力すると、その特定の値がそのアカウントに対して優先されます。アカウントは、翌日の2025年9月13日午後5時（17:00:00）まで有効です。また、テンプレートの「ログイン可能時間」（午前8時～午後7時）にも注意が必要です。アカウントは13日の午後5時（17:00:00）まで存在しますが、ユーザーは両日ともログインスケジュールで定義された有効時間内にのみ認証できます。
アカウントを作成する際、管理者はテンプレートを選択してデフォルト設定を行うことができます。ただし、アカウント終了日などの特定の値は、アカウント作成ウィザード内で変更できます。「アカウント終了日」フィールドに指定された日時によって、アカウントの有効期限が決まります。この日時になると、アカウントは期限切れ状態になり、ユーザーのネットワークアクセスは取り消されます。 - FortiNAC-F 管理ガイド：ゲストおよび契約者アカウント管理。

FortiNAC-Fでは、デバイスプロファイラはルールベースのエンジンであり、未知の「不正」デバイスを評価し、フィンガープリントと動作に基づいて分類します。プロファイリングルールがデバイスに一致すると、管理者はそのルールを設定して、そのデバイスを自動的に登録できます。登録プロセスでは、デバイスレコードを主に2つの場所に配置できます。トポロジービュー（デバイスとして）またはホストビュー（登録済みホストとして）です。
FortiNAC-F 管理ガイドによると、ホスト ビューにデバイスを登録すると、ID 管理と履歴追跡において大きなメリットが得られます。まず、デバイスをユーザー (C) に関連付けることができます。FortiNAC データベース アーキテクチャでは、ホスト ビューはエンドポイント ID の主要なリポジトリです。プロファイルされたデバイスをここに配置することで、システムはそのハードウェア (MAC アドレス) を、従業員、ゲスト、またはシステム レベルの「所有者」など、特定のユーザー アカウントにリンクできます。この関連付けは、ロール ベース アクセス制御 (RBAC) やネットワーク ファブリック全体の責任の追跡に不可欠です。
第二に、ホストビューに登録されたデバイスには接続ログ（B）が記録されます。FortiNAC-Fは、すべてのホストレコードについて詳細な動作履歴を保持します。これには、デバイスがポートに接続または切断したすべてのインスタンス、IPアドレスの割り当て、および各セッション中に適用された特定のポリシーが含まれます。これらのログは、ネットワーク上でのデバイスのライフサイクルの明確なタイムラインを提供するため、接続の問題のトラブルシューティングやセキュリティフォレンジック監査に非常に役立ちます。これに対し、トポロジービューでのみ管理されるデバイスは、通常、インフラストラクチャコンポーネントとして扱われ、個々のセッション履歴よりもデバイスの可用性に重点が置かれます。
「登録され、ユーザーに関連付けられたデバイスはホストビューに配置され、プロファイル済みデバイスウィンドウから削除されます。デバイスをホストビューに配置することで、接続履歴の追跡や、FortiNACデータベース内の特定のIDまたはユーザーレコードへのデバイスの関連付けが可能になります。」 - FortiNAC-F管理ガイド：デバイスプロファイラの仕組み。

FortiNAC-Fでは、インベントリトポロジーに特定のアイコンを使用して、検出されたネットワークインフラストラクチャの状態とモデルを表します。SNMP経由でスイッチやその他のネットワークデバイスが検出されると、FortiNAC-FはそのシステムオブジェクトID（sysObjectID）を取得して、特定のメーカーとモデルを識別します。このOIDは、サポートされているデバイスマッピングの内部データベースと比較されます。
検出されたスイッチに疑問符（？）アイコンが表示される場合、検出プロセスはデバイスとの通信に成功したものの（つまり、SNMP認証情報は正しかったものの）、SNMPオブジェクトIDがFortiNAC-Fの現行バージョンで認識またはマッピングされていないことを示しています。これは基本的に、デバイスが現在のソフトウェアでは「サポートされていない」ことを意味します。OIDが不明なため、FortiNAC-FはL2ポーリング（ホストの可視性）やVLAN切り替え（強制）などの重要な機能に使用するCLIまたはSNMPコマンドセットを特定できません。この問題を解決するには、管理者は手動で「デバイスマッピングを設定」して、類似の既存モデルを選択するか、基本的なL3可視性のみが必要な場合は「汎用SNMPデバイス」を選択できます。
「検出されたデバイスに「？」アイコンが表示されている場合、現在実行中のバージョンにはそのデバイスのシステムOIDのマッピングがないことを示しています（デバイスはサポートされていません）。デバイスマッピングは、L2/L3ポーリング、読み取り、VLANの切り替えなどの機能を実行してデバイスを管理するために使用されます。」 - Fortinetテクニカルヒント：インベントリでモデル化できないデバイスのオプション。

正解はCです。FortiNAC-Fのセキュリティ自動化は、トリガーとアクションだけに依存するものではありません。セキュリティアラートを受信し、セキュリティトリガーが満たされた後、FortiNAC-Fは関連するユーザーを評価することもできます。
セキュリティアラームを生成してアクションを実行する前に、/host プロファイルを確認してください。学習ガイドでは、ユーザーが
/host プロファイルは、セキュリティ ポリシーで使用されるプロファイルと同じであり、セキュリティ ルールで「誰が、何を、どこで、いつ」といった可視性情報を活用するために使用されます。これはまさに質問で求められていることです。ルールは、FortiGate の Web フィルタ カテゴリ イベントをトリガーするすべてのユーザーではなく、社内エンジニアにのみ適用される必要があります。
コンプライアンス ポリシーは、エンドポイントの健全性、姿勢、スキャン、またはエージェントの結果を評価するものであり、FortiGate の Web フィルタによってトリガーされる自動化をユーザー集団に絞り込むものではないため、不適切です。ファイアウォール ポリシーは FortiGate 上で設定され、セキュリティ ルールの FortiNAC-F 側のマッチング条件としては設定されません。プロファイリング メソッドも不適切です。プロファイリング メソッドは、プリンタ、カメラ、電話などの不正なデバイスや未知のデバイスを分類するものであり、セキュリティ自動化ワークフローの内部エンジニアを特定するものではないためです。ユーザー/ホスト プロファイルは、一致するユーザー、ホスト、グループ、場所、または所有権のコンテキストに応じて、同じ FortiGate セキュリティ トリガーから異なる応答を生成できるため、適切な FortiNAC-F オブジェクトです。

N+1高可用性（HA）構成では、1台のセカンダリ制御・アプリケーション（CA）サーバーが複数のプライマリCAサーバーのバックアップを提供します。FortiNAC-Fマネージャー（FortiNAC-M）は、このクラスタの中央オーケストレーターとして機能し、参加するすべてのノードの状態を監視します。
FortiNAC-F 7.6.0 N+1 フェイルオーバー リファレンス マニュアルによると、プライマリ CA（図中の CA-2 など）に障害が発生した場合、セカンダリ CA（CA-3）はマネージャによって自動的に昇格され、障害が発生したプライマリの特定のワークロードとデータベース機能を引き継ぎます。重要な点として、この昇格後もシステム アーキテクチャは N+1 ロジックを維持することがドキュメントに明記されています。セカンダリ CA は、マネージャによって確立された N+1 フレームワーク内で動作を継続しながら、障害が発生したプライマリの「アイデンティティを引き継ぐ」ことになります。
FortiNAC-F HAは、アクティブなトラフィック分散ではなく、冗長性とフェイルオーバーを目的として設計されているため、CA-1と統合して従来の1+1アクティブ/パッシブクラスタ（A）を形成することも、負荷分散（D）を行うこともありません。さらに、CA-3はCA-1と管理を「共有」することもありません（C）。CA-3は、元々CA-2に割り当てられていたタスクを独立して処理します。このフェイルオーバー状態の間、マネージャは引き続きグループを監視し、CA-2が復旧するまで、CA-3はダウンしたノードのプライマリとして機能している指定セカンダリユニットのままです。
「N+1 フェイルオーバー グループでは、セカンダリ CA は、グループ内のプライマリ コンポーネントのいずれか 1 つに障害が発生した場合に、その機能を引き継ぐように設計されています。FortiNAC Manager はプライマリを監視し、セカンダリへのフェイルオーバーを開始します。フェイルオーバーが発生すると、セカンダリは障害が発生したプライマリのバックアップ ユニットとして動作を続け、管理対象の N+1 HA 構成の一部として残ります。」 - FortiNAC-F 7.6.0 N+1 フェイルオーバー リファレンス マニュアル: フェイルオーバー動作のセクション。