マルチクラウド環境全体にわたる主要な SaaS アプリケーション内のユーザー アクティビティとデータに関する洞察を得ようとしている管理者にとって、FortiCASB (クラウド アクセス セキュリティ ブローカー) を導入することが最も効果的なソリューションです (オプション C)。
* FortiCASB の役割:FortiCASB は、クラウドベースのサービスにセキュリティの可視性、コンプライアンス、データ セキュリティ、脅威からの保護を提供するために特別に設計されています。ユーザーとクラウド サービス プロバイダーの間の仲介役として機能し、SaaS アプリケーションによって処理される操作とデータに対する詳細な可視性を提供します。
* FortiCASB の機能: この製品を使用すると、管理者は SaaS アプリケーションへのアクセスと使用状況を監視および制御できます。セキュリティ構成の評価、ユーザー アクティビティの追跡、クラウド サービス全体のデータ移動の評価に役立ちます。これにより、組織はセキュリティ ポリシーを適用し、異常な動作を検出し、規制基準への準拠を確保できます。
* 統合と機能性:FortiCASB は主要な SaaS プラットフォームとシームレスに統合され、包括的な分析とリアルタイムの保護対策を可能にする集中管理インターフェイスを提供します。この統合により、組織はさまざまなクラウド サービスにわたるデータの制御を維持し、マルチクラウド環境における全体的なセキュリティ体制を強化できます。
参考資料: Fortinet の FortiCASB に関する公式ドキュメントでは、その機能と SaaS アプリケーションとの統合機能が詳しく説明されており、クラウドベースのサービスに強化されたセキュリティ対策を提供する役割が強調されています。

説明
B: ルートの宛先 0.0.0.0/0 を追加して、トランジットゲートウェイをターゲットにします。これにより、Customer VPC FortiGate VM はすべての送信インターネットトラフィックを Security VPC 経由で送信し、Security VPC FortiGate VM で検査できるようになります1。トランジットゲートウェイは、ハブアンドスポークモデルで複数の VPC とオンプレミスネットワークを接続するネットワークデバイスです2。 D. インターネットゲートウェイをデプロイし、プライベートサブネットに EIP を関連付け、ルートテーブルを編集して、新しいルートの宛先 0.0.0.0/0 をターゲットインターネットゲートウェイに追加します。これにより、FortiGate VM が配置されているプラ​​イベートサブネットのパブリックルートが作成され、インターネットから Customer VPC FortiGate VM へのインバウンド HTTPS アクセスが可能になります3。インターネットゲートウェイは、VPC とインターネット間の通信を可能にするサービスです4。EIP は、AWS アカウントに割り当ててリソースに関連付けることができるパブリック IPv4 アドレスです。 E. インターネット ゲートウェイをデプロイし、パブリック サブネットに EIP を関連付けて、インターネット ゲートウェイを顧客 VPC に接続します。これにより、FortiGate VM が配置されているパブリック サブネットのパブリック ルートを作成することで、インターネットから顧客 VPC FortiGate VM へのインバウンド HTTPS アクセスも可能になります3。これは、FortiGate VM に使用するサブネットに応じて、オプション D の代替ソリューションになります。
他のオプションは、次の理由で正しくありません。
ローカル インターネット パブリック IP アドレスを宛先およびターゲット トランジット ゲートウェイとしてルートを追加しても、インターネットからカスタマー VPC FortiGate VM へのインバウンド HTTPS アクセスは許可されません。これは、特定の IP アドレスからのトラフィックにのみ適用され、インターネット上の他のソースからのトラフィックには適用されないためです1。さらに、これは特定の IP アドレスへのトラフィックにのみ適用され、インターネット上の他の宛先へのトラフィックには適用されないため、アウトバウンド インターネット トラフィックがセキュリティ VPC を通過することが保証されません1。
ローカル インターネット パブリック IP アドレスを宛先およびターゲット インターネット ゲートウェイとしてルートを追加すると、セキュリティ VPC をバイパスしてトラフィックが直接カスタマー VPC1 に送信されるため、インターネットからカスタマー VPC FortiGate VM へのインバウンド HTTPS アクセスは許可されません。さらに、これは特定の IP アドレスに送信されるトラフィックにのみ適用され、インターネット1 上の他の宛先には適用されないため、アウトバウンド インターネット トラフィックがセキュリティ VPC を通過することが保証されません。

A . terraform destroy コマンドを使用します。このコマンドは、Terraform 構成1 を使用して作成されたすべてのリソースを削除するために使用されます。これは、リソースの作成に使用される te​​rraform apply コマンドの逆です。terraform destroy コマンドは、最初に破棄されるリソースの計画を表示し、次に続行する前に確認を求めます。このコマンドは、変更を反映するために状態ファイルも更新します。 D. 管理者は Linux サーバーを手動で削除する必要があります。これは、Linux サーバーが Terraform を使用してデプロイされたのではなく、AWS Marketplace2 を使用してデプロイされたためです。したがって、Terraform の状態ファイルには Linux サーバーに関する情報がないため、管理または破棄できません。管理者は AWS コンソールまたは CLI を使用して Linux サーバーを手動で削除する必要があります。
他のオプションは、次の理由で正しくありません。
terraform validate コマンドはありません。正しいコマンドは terraform plan です。これは、構成 3 を適用することでどのような変更が行われるかの計画を表示するために使用されます。ただし、このコマンドはリソースを削除せず、terraform apply または terraform destroy を実行した場合に何が起こるかを表示するだけです。
terraform destroy all コマンドはありません。正しいコマンドは terraform destroy です。このコマンドは、デフォルトで現在の構成内のすべてのリソースを破棄します1。コマンドに all 引数を追加する必要はありません。

FortiGate ポリシーで NAT を有効にすることをお勧めします。これは、Azure ロード バランサーがハッシュベースのアルゴリズムを使用してトラフィックを FortiGate インスタンスに分散し、パケットの送信元と宛先の IP アドレスとポートに依存するためです。NAT が有効になっていない場合、パケットの送信元 IP アドレスはロード バランサーのフロントエンド IP アドレスと同じになり、トラフィックの分散が不均一になり、非対称ルーティングの問題が発生する可能性があります。したがって、パケットの元の送信元 IP アドレスを保持し、最適な負荷分散とルーティングを確保するために、FortiGate ポリシーで NAT を有効にすることをお勧めします。
非同期トラフィックを処理するためのセッション同期をサポートします。つまり、FortiGate インスタンスはir セッション テーブルを相互に同期できるため、セッションの最初のパケットと同じパスをたどらないトラフィックを処理できます。たとえば、TCP SYN パケットが FortiGate A に送信され、TCP SYN-ACK パケットが FortiGate B に送信された場合、FortiGate B はセッション テーブルを参照してパケットを FortiGate A に転送できます。この機能により、Azure ロード バランサーのハッシュ ベースのアルゴリズムやその他の要因によって発生する可能性のある非対称トラフィックを FortiGate インスタンスで処理できます。

この問題のトラブルシューティング中に確認する必要がある 3 つの設定は次のとおりです。
- FortiGate ポート 4 が DNS を解決できることを確認します。これは、Azure SDN コネクタが Azure API と通信するために DNS 解決を必要とするためです。FortiGate ポート 4 が DNS を解決できない場合、SDN コネクタは Azure リソースを取得して GUI に表示することができません。
- FortiGate ポートがインターネットにアクセスできることを確認します。これは、Azure SDN コネクタが Azure API と通信するためにインターネット アクセスを必要とするためです。FortiGate ポートがインターネットにアクセスできない場合、SDN コネクタは Azure クラウドに接続できず、CLI にエラーが表示されます。
- IP アドレス 169.254.169.254 がブロックされていないことを確認します。これは、Azure SDN コネクタがこの IP アドレスを使用して Azure インスタンスからメタデータ情報を取得するためです。この IP アドレスがファイアウォール ポリシーまたはネットワーク ACL によってブロックされている場合、SDN コネクタは必要な情報を取得できず、CLI にエラーが表示されます。