正解はCです。FortiNAC-F Managerクラスタリングでは、アクティブなクラスタ管理ロールはリーダーロールであり、他のクラスタメンバーはワーカーノードとして動作します。FortinetのFortiNAC-F 7.6 Managerクラスタガイドには、自動移行中にワーカーがリーダーに昇格した場合、元のリーダーはオンラインに戻るとワーカーノードになると記載されています。また、クラスタには1つのリーダーと複数のワーカーが存在し、リーダー/ワーカーロールはクラスタ管理とハートビート交換に使用されることも説明されています。
したがって、クラスタマネージャが応答しなくなり、別のノードがリーダーシップを引き継いだ場合、復旧したマネージャは自動的にリーダーの役割を回復しません。ワーカーノードとして再参加します。オプションAは、復旧時に自動的にスタンドアロングループから削除されないため誤りです。オプションBは、以前のマネージャ/リーダー状態に自動的に戻ると不安定になり、スプリットブレイン動作が発生する可能性があるため誤りです。オプションDは、このコンテキストでFortiNAC-Fマネージャクラスタリングについて説明されている役割が「スタンバイ」ではないため誤りです。ドキュメントに記載されているクラスタの役割は、リーダーとワーカーです。

FortiNAC-Fでは、構成変更の責任追及とフォレンジック追跡は、管理者監査機能によって管理されます。管理者がポリシーの作成、デバイスの状態変更、スイッチポートの強制グループへの追加など、システムの状態を変更する操作を実行すると、システムは監査レコードを生成します。このレコードは、不正または偶発的な構成変更が発生し、意図しないネットワーク動作につながった場合のトラブルシューティングに不可欠です。
管理者監査ビュー（[ログ] > [管理者監査] にあります）には、すべての管理セッションの「誰が、何を、いつ」実行したかに関する包括的なログが表示されます。各エントリには、管理者のユーザー名、FortiNAC-F コンソールにアクセスした送信元 IP アドレス、正確なタイムスタンプ、および変更内容の詳細な説明が含まれます。前述のシナリオのように、ポートが誤って強制グループに追加された場合、管理者監査ビューを使用すると、管理者は特定の「ポート」または「グループ」オブジェクトでフィルタリングして、どの管理者がコマンドを実行したかを正確に特定できます。
一方、イベント管理ビュー（B）は、RADIUS認証、ホスト接続、SNMPトラップの受信など、システムおよびネットワークイベントを監視するように設計されています。システムアクティビティを追跡しますが、管理者が手動で行った構成変更は通常ログに記録しません。ポート変更ビュー（C）は、ポートの運用履歴（VLAN割り当ての変更やホストの移動など）を追跡しますが、ポートの管理上の割り当てをグループに紐付けることはありません。最後に、セキュリティイベントビュー（D）は、セキュリティルールや外部脅威フィードによってトリガーされるアラート専用です。
「管理者監査では、管理者が FortiNAC-F システムに対して行ったすべての変更の記録が表示されます。このビューには、管理者の名前、変更の日時、および実行されたアクションの説明が含まれます。これは、ポート グループのメンバーシップの変更やポリシー設定の変更など、特定の構成変更を実行した管理者ユーザーを特定するための主要なリソースです。」 - FortiNAC-F 管理ガイド：ログ記録と監査のセクション。

FortiNAC-FがFortiGateを介してVPNクライアントを管理する場合、エージェントは、標準的なネットワークプロトコルだけでは提供できないデバイス識別において重要な役割を果たします。標準的なVPN接続では、FortiGateはレイヤ3トンネルを確立し、クライアントに仮想IPアドレスを割り当てます。FortiGateは、ユーザー名と割り当てられたIPアドレスを含むsyslogメッセージをFortiNAC-Fに送信しますが、通常はリモートエンドポイントの物理アダプタまたは仮想アダプタのハードウェア（MAC）アドレスは提供しません。
FortiNAC-Fは、データベース内のすべてのホストレコードの主要な一意の識別子としてMACアドレスを使用します。
MACアドレスがないと、FortiNAC-Fは着信VPNセッションを既存のホストレコードと関連付けて特定のポリシーを適用したり、デバイスの履歴を追跡したりすることができません。エンドポイントは、永続エージェントまたは消滅エージェントのいずれかを実行することで、自身のMACアドレスを取得し、それをFortiNAC-Fサービスインターフェイスに直接送信します。これにより、「IPからMACへの」マッピングが可能になります。FortiNAC-FはIPアドレスとMACアドレスの両方を取得すると、デバイスを正常に識別し、その状態を確認し、適切なFSSOタグまたはグループ情報をFortiGateに送信してネットワーク制限を解除できます。
さらに、エージェントはコンプライアンスチェックも実行できますが（オプションD）、管理VPN環境におけるエージェントのアーキテクチャ要件は、主にセッションデータの相関関係、具体的にはIPアドレスとMACアドレスのペアリングの収集の必要性によって決まります。
「セッションデータコンポーネント: * ユーザーID (FortiGate から RADIUS、syslog、および API を介して収集)。 * リモートユーザー接続のリモートIPアドレス (FortiGate および FortiNAC エージェントから syslog および API を介して収集)。 * デバイスIPおよびMACアドレス (FortiNAC エージェントを介して収集)... エージェントは、接続するVPNユーザーのMACアドレス (IPからMAC) を提供するために使用されます。」 -FortiNAC-F FortiGate VPN統合ガイド: 動作方法のセクション。

正解はBとCです。永続エージェントはエンドポイントにインストールされ、常駐するため、最も適しています。学習ガイドによると、展開後、永続エージェントは15分ごとにFortiNAC-Fと通信し、エンドユーザーには見えない形でバックグラウンドでスケジュールされたスキャンを実行します。これは、ユーザーの操作なしで定期的なコンプライアンススキャンを実行するという要件を直接満たします。
パッシブエージェントは、エンドユーザーの操作なしにWindowsドメインのエンドポイントをスキャンすることもできます。ガイドによると、パッシブエージェントはログオン/ログオフスクリプトと管理テンプレートを介して展開され、パッシブエージェントの登録により、LDAPまたはActive Directoryユーザーに関連付けられたホストを登録してスキャンできます。有効にすると、パッシブエージェントはホストをスキャンして、適切なエンドポイントポリシーへの準拠を確認します。
オプションAは、溶解性エージェントが一度だけ実行されるエージェントであり、キャプティブポータルでエンドユーザーが手動で操作する必要があり、結果を報告した後に自動的に削除されるため、誤りです。オプションDも、モバイルエージェントがAndroidのオンボーディング専用であり、手動でインストールする必要があるため、この要件に対する最適な回答ではありません。これは、すべての端末の日常的なコンプライアンススキャンに対する一般的なソリューションではありません。

正解はCです。図には、ログイン可能時間が「時間指定」に設定されたゲストテンプレートが示されており、月曜日から金曜日の午前6時から午後7時までのみログインが許可されています。学習ガイドでは、「アカウント期間」と「ログイン可能時間」のフィールドは、アカウントがデータベースから削除されるタイミング、またはアカウントが有効になる曜日と時間を定義すると説明されています。したがって、許可されたログイン時間外では、ゲストはそのゲストアカウントを使用して正常に認証することはできません。
許可された時間帯以外でのネットワークアクセスを阻止するために、FortiNAC-Fは認証されていない状態のホストを隔離する必要があります。このガイドでは、認証キャプティブネットワークを認証されていない状態のホストにマッピングしており、隔離ロジックテーブルでは、接続ポイントが強制認証グループにある場合、認証されていない状態のホストが認証ネットワークに移動されることを示しています。
オプションAは誤りです。リスクのあるホストは、コンプライアンスやセキュリティ体制の問題により修復/隔離の対象となりますが、ゲストのログインが許可された時間帯外であるためではありません。オプションBは誤りです。無効化されたホストは意図的に無効化され、行き止まりのネットワークに送られますが、ここではアカウントは時間制限されているだけで、必ずしも無効化されているわけではありません。オプションDは誤りです。不正アクセスは未登録または未分類のデバイスに適用されますが、このシナリオはログインスケジュール外に認証が許可されていない既知のゲストアカウントに関するものです。