FortiSASE 7.6 機能管理ガイドおよび NSE 5 SASE カリキュラムの最新の更新によると、FortiSASE は FortiClient エージェントのネイティブ ライフサイクル管理を導入し、これまで更新ごとにサードパーティの MDM (モバイル デバイス管理) または GPO (グループ ポリシー オブジェクト) のみに依存していた IT チームの運用上の負担を軽減しています。
FortiSASE ポータルの [システム] > [エンドポイント アップグレード] にある [エンドポイント アップグレード] 機能を使用すると、管理者は次の操作を実行できます。
* 集中バージョン管理: 管理者は、現在導入されているバージョンと、FortiGuard から入手できる「推奨」バージョンを確認できます。
* スケジュールされたロールアウト: 指定した時間にすべてのエンドポイントまたは特定のエンドポイント グループをアップグレードすることを選択できます。これにより、アップグレードによって業務が中断されることがなくなります。
* ステータスの監視: ポータルでは、アップグレードの進行状況 (例: 完了) を示すリアルタイム ダッシュボードが提供されます。
たとえば、ダウンロード中、インストール中、再起動保留中、成功など)。
* 手動と管理: 初期オンボーディング (FortiClient が初めてインストールされ、SASE クラウドに接続されるとき) には MDM が依然として強く推奨されますが、その後のすべてのアップグレードは FortiSASE ポータルによってネイティブに処理できます。
他のオプションが間違っている理由:
* オプション B: 手動アップグレードは、大規模な展開 (このシナリオでは約 400 人のユーザー) には非効率的であり、FortiSASE が提供する意図された「機能豊富な」ソリューションではありません。
* オプションC：「オンボーディング」とは初期設定を指します。バージョンが変更されるたびに再度オンボーディングを行うのは冗長で逆効果です。
* オプションD: システムはアップグレードを管理できますが、ポータルで管理設定を行わない限り、クライアント自身による「オンデマンド自動アップグレード」は実行されません。管理者は対象バージョンとスケジュールを定義する必要があります。

デフォルトでは、ローカル出力トラフィックは SD-WAN を使用しません → FortiGate は通常、SD-WAN ルールを適用せずに、ローカル出力トラフィック (DNS、NTP、FortiGuard アップデートなど) をインターフェース経由で直接送信します。
SD-WAN を使用するには、各ローカル アウト機能を個別に設定する必要があります → SD-WAN 経由でローカル アウト トラフィックを制御するには、SD-WAN ルールを使用するように必要なローカル アウト機能 (DNS、FortiGuard、CAPWAP など) を明示的に設定する必要があります。

スケジュールされたFortiClientのアップグレードは、エンドポイントのローカル時間に基づいて実行されます。そのタイムゾーンでスケジュールされた時刻が既に過ぎている場合は、アップグレードは翌日の同じ時刻まで延期されます。

SD-WAN 7.6 Core Administratorカリキュラムでは、「Prefer Passive」プローブモードは、リンクの健全性の可視性を維持しながら、合成トラフィック（プローブ）のオーバーヘッドを最小限に抑えるように設計されたハイブリッド監視戦略です。FortiOS 7.6管理ガイドおよびSD-WANスタディガイドによると、その動作と影響は次のとおりです。
* TCPトラフィック要件（オプションE）：パッシブモニタリングは、FortiGateの実際のユーザートラフィックを検査し、レイテンシ、ジッタ、パケットロスなどのヘルスメトリックを計算する機能に依存します。具体的には、TCPトラフィック（TCPシーケンス番号とタイムスタンプを分析してラウンドトリップタイム（RTT）を計算する）を使用します。ユーザートラフィックがメンバーインターフェースを通過している場合、FortiGateは独自のプローブを送信する代わりに、これらの実際のセッションをSLA計算に使用します。
* デッドメンバーの検出不能（オプションC）：パッシブモニタリングの大きな制約は、「デッド」リンクと「アイドル」リンクを区別できないことです。トラフィックがない場合、パッシブモニターは分析するデータがありません。そのため、パッシブモードでは、SD-WANエンジンはデッドメンバーを検出できません。この問題を軽減するために、「パッシブ優先」にはフェイルセーフ機能が組み込まれています。一定時間（通常3分）トラフィックが検出されない場合、FortiGateは自動的にアクティブモードに切り替え（ICMP/TCP pingを送信）、リンクが実際に有効かどうかを確認します。
他のオプションが間違っている理由:
* オプション A:パッシブ モニタリングでは通常、監視対象トラフィックのハードウェア オフロード (ASIC) が無効になります。
これは、CPU がパフォーマンス メトリックを計算するためにすべてのパケット ヘッダーを検査する必要があるためです。トラフィックがネットワーク プロセッサ (NP) にオフロードされると、CPU はパケットを認識できず、パッシブ モニタリングが不可能になります。
* オプション B: アクティブ プローブは ICMP を使用することが多いですが、パッシブ モニタリングは TCP トラフィック向けに特別に設計されています。これは、TCP プロトコルの ACK 構造により、合成パケットなしで正確な RTT と損失の計算が可能になるためです。
* オプションD：「3分」タイマーは、トラフィックが途絶えた際にパッシブからアクティブに切り替えるトリガーであり、パッシブに戻るためのフォールバックタイマーではありません。有効なTCPトラフィックが再び検出されるとすぐに、パッシブへのフォールバックが実行されます。
FortiSASE 7.6管理ガイドおよびFCP - FortiSASE 24/25管理者学習資料によると、FortiSASEはリモートユーザー（SIAおよびSPAユーザー）のID検証に、主に3つの外部（リモート）認証ソースをサポートしています。これらの認証ソースにより、組織は既存のIDインフラストラクチャを活用し、シームレスなオンボーディングとポリシー適用を実現できます。
* セキュリティアサーションマークアップ言語（SAML）（オプションA）：これは、最新のSASE導入において最も一般的かつ推奨される方法です。FortiSASEはSAMLサービスプロバイダー（SP）として機能し、Microsoft Entra ID（旧Azure AD）、Okta、FortiAuthenticatorなどのアイデンティティプロバイダー（IdP）と統合します。これにより、シングルサインオン（SSO）と多要素認証（MFA）が可能になります。
* 軽量ディレクトリアクセスプロトコル（LDAP）（オプションC）：FortiSASEは、オンプレミスまたはクラウドベースのLDAPサーバー（Windows Active Directoryなど）に接続できます。これにより、管理者は既存のADグループをFortiSASEユーザーグループにマッピングし、きめ細かなセキュリティポリシーを適用できます。
* リモート認証ダイヤルインユーザーサービス（RADIUS）（オプションE）：RADIUSは、集中認証サーバーまたは従来のMFAソリューション（RSA SecurIDなど）を使用している組織向けにサポートされています。FortiSASEは、SASEトンネルへのアクセスを許可する前に、RADIUSサーバーにクエリを送信してユーザー認証情報を検証できます。
他のオプションが間違っている理由:
* OpenID Connect (OIDC) (オプション B): OIDC は SAML に似た最新の認証プロトコルですが、FortiSASE の外部 ID プロバイダーの主な統合は現在 SAML 2.0 で標準化されています。
* TACACS+ (オプション D):Terminal Access Controller Access-Control System Plus は、主にネットワーク デバイスへの管理アクセス (AAA) (FortiGate CLI または FortiManager へのログインなど) に使用されます。
これは、Fortinet エコシステムにおけるエンドユーザー VPN または SASE 認証には使用されません。

FortiSASE 24.4 管理ガイドおよび FortiSASE Core 管理者トレーニング資料によると、オンネット検出ルール設定は、エンドポイントの物理的な場所の「信頼ステータス」を決定するための重要な要素です。
* エンドポイントロケーション検証：オンネットルールセットは、FortiSASEがエンドポイントをオンネット（信頼済み）と見なすか、オフネット（信頼されていない）と見なすかを判断するために使用されます。エンドポイントは、企業ネットワーク内に物理的に配置されている場合、オンネットとみなされます。企業ネットワークには、オンプレミスのセキュリティ対策（FortiGate NGFWなど）が既に導入されているものと想定されます。
* 運用への影響：エンドポイントがオンネットとして検出された場合、FortiSASE はエンドポイントが SASE クラウドへの VPN トンネルを自動的に確立しないように設定できます。この最適化により、ユーザーは既にローカルの企業ファイアウォールによって保護されているため、冗長なセキュリティ検査が回避され、SASE 帯域幅が節約されます。
* 検出方法: エンドポイントをオンネットとして分類するには、管理者は次のような特定の環境マーカーを探すルール セットを構成します。
* 既知のパブリック (WAN) IP: エンドポイントのパブリック IP が企業本社の出力 IP と一致する場合。
* DHCP サーバー: エンドポイントが特定の企業 DHCP サーバーから IP を受信する場合。
* DNS サーバー/サブネット: 一致する内部 DNS インフラストラクチャまたは特定の内部 IP 範囲。
* 動的ポリシー適用: エンドポイントがネット上かネット外かを正確に判断することで、FortiSASE は、ユーザーが信頼できない場所 (ホーム ネットワークやパブリック Wi-Fi など) にいる場合にのみ、FortiClient エージェントがセキュア インターネット アクセス (SIA) トンネルを開始するようにします。
他のオプションが間違っている理由:
* オプション A: ユーザー認証は別のプロセスであり、ユーザー資格情報ではなくネットワーク環境に重点を置くオン/オフネット検出ルールによって制御されません。
* オプション B: オンネット ステータスはトラフィックのルーティング (VPN とローカル) に影響しますが、これらのルールはプライベート リソースとクラウド リソースのルーティング テーブルを定義するのではなく、ステータス自体を具体的に決定します。
* オプション D: 地理的位置 (Geo-location) は、ファイアウォール ポリシーでよく使用される別のフィルタリング基準です。オンネット検出は、信頼できる企業境界への近さに特に重点を置きます。