* A は不正解です。FortiGate パブリック IP はすべてのトラフィックのネクストホップではありません。FortiGate パブリック IP は、インターネットからの受信トラフィックにのみ使用されます。Azure ロード バランサーは、正常性プローブ 123 に基づいて、受信トラフィックをアクティブな FortiGate VM に分散します。FortiGate パブリック IP は、送信トラフィックや内部トラフィックには使用されません。
* 内部ロード バランサ リスナーは送信トラフィックのネクスト ホップであるため、B が正解です。内部ロード バランサ リスナーは、アクティブな FortiGate VM に割り当てられたフローティング IP アドレスを使用して構成されます。内部ロード バランサ リスナーには、FortiGate VM の状態を監視するヘルス プローブもあります123。内部ロード バランサ リスナーは、送信トラフィックをパブリック ロード バランサ経由でインターネットに転送します。
* C は不正解です。ヘルス チェックに使用する Microsoft VIP にルートを追加する必要がないためです。Microsoft VIP は、Azure ロード バランサーが FortiGate VM にヘルス プローブを送信するために使用する内部 IP アドレスです123。Microsoft VIP は Azure ネットワークの外部からはアクセスできず、FortiGate VM でルーティング構成は必要ありません。
* 正解は D です。専用の管理インターフェースは負荷分散に使用できます。この導入では、ポート 4 は管理ネットワークに接続する専用の管理インターフェースとして使用されます3。専用の管理インターフェースは、構成と監視の目的で FortiGate VM にアクセスするために使用できます。専用の管理インターフェースは、HA クラスター内のプライマリ デバイスとセカンダリ デバイス間の構成とセッション情報を同期するためにも使用できます2。

説明
B: FortiGate ポリシーで NAT を有効にすることをお勧めします。これは、Azure ロード バランサーがハッシュベースのアルゴリズムを使用してトラフィックを FortiGate インスタンスに分散し、パケットの送信元と宛先の IP アドレスとポートに依存するためです1。NAT が有効になっていない場合、パケットの送信元 IP アドレスはロード バランサーのフロントエンド IP アドレスと同じになり、トラフィックが均等に分散されず、非対称ルーティングの問題が発生する可能性があります1。したがって、パケットの元の送信元 IP アドレスを保持し、最適な負荷分散とルーティングを確保するために、FortiGate ポリシーで NAT を有効にすることをお勧めします1。D. 非同期トラフィックを処理するためのセッション同期をサポートしています。つまり、FortiGate インスタンスはセッション テーブルを相互に同期できるため、セッションの最初のパケットと同じパスをたどらないトラフィックを処理できます2。たとえば、TCP SYN パケットが FortiGate A に送信され、TCP SYN-ACK パケットが FortiGate B に送信された場合、FortiGate B はセッション テーブル 2 を参照してパケットを FortiGate A に転送できます。この機能により、Azure ロード バランサーのハッシュ ベースのアルゴリズムやその他の要因によって発生する可能性のある非対称トラフィックを FortiGate インスタンスで処理できるようになります。
他のオプションは、次の理由で正しくありません。
設定を同期から除外するために vdom-exception コマンドは使用しません。vdom-exception コマンドは、クラスタまたは高可用性グループ3 内の FortiGate デバイス間で特定の設定を同期から除外するために使用されます。ただし、このシナリオでは、FortiGate デバイスはクラスタまたは高可用性グループ内にはなく、スタンドアロン設定同期が有効になっているスタンドアロン デバイスです。この機能により、ホスト名など、ネットワークに対して FortiGate を識別する一部の設定を除き、ほとんどの設定を相互に同期できます。
FGCP プロトコルは使用しません。FGCP は FortiGate Clustering Protocol の略で、クラスタまたは高可用性グループ内の FortiGate デバイス間で構成と状態情報を同期するために使用されます。ただし、このシナリオでは、FortiGate デバイスはクラスタまたは高可用性グループ内になく、FGCP ではなくスタンドアロン構成同期を使用します。

Red Hat Ansible を使用して FortiGate VM の設定を変更する場合、作成する必要があるファイルの最小数と、ターゲット FortiGate IP アドレスを構成するファイルは次のとおりです。B. 2 つのファイルを作成し、hosts ファイルを使用します。
Ansible プレイブック ファイル (YAML): プレイブック ファイル (通常は YAML ファイル) には、Ansible がターゲット ホストで実行する目的の状態とタスクが含まれています。
インベントリ ファイル (ホスト): 一般的にホストと呼ばれるインベントリ ファイルでは、FortiGate VM の IP アドレスを含むターゲット マシンを定義します。Ansible はこのファイルを使用して、プレイブックを実行するマシンを決定します。
これら 2 つのファイルを作成すると、デプロイメント用に Ansible を構成するために必要なコンポーネントが揃います。プレイブックには自動化タスクが含まれており、hosts ファイルにはそれらのタスクが実行されるマシンがリストされています。

説明
Amazon Web Services (AWS) アカウントを FortiCNP に追加する場合は、次の 3 つの必須構成手順に従う必要があります。
FortiCNP を通じて AWS アカウントを追加します。これは、AWS アカウントのクラウド保護を有効にするための最初のステップです。1 つまたは複数のアカウントを自動または手動で追加できます。AWS アカウント ID とアカウント名を指定する必要があります。また、必要に応じて FortiCNP に付与するオプションの権限を選択する必要があります1。
FortiCNP がアカウントの CloudTrail を作成することを承認します。これは、FortiCNP が AWS API 呼び出しとイベントを収集して分析するために必要です。FortiCNP にアカウントの CloudTrail を作成させるか、既存のものを使用するかを選択できます。また、CloudTrail1 の集約リージョンも指定する必要があります。
CloudFormation テンプレートを起動します。これは、FortiCNP が AWS アカウントにスタックとロールを作成するために必要です。スタックには、FortiCNP が AWS アカウントにアクセスして監視するために必要なリソースが含まれています。ロールにより、FortiCNP はそれを引き受け、ユーザーに代わってアクションを実行できます。FortiCNP1 で、カスタムまたはデフォルトのロール名と、会社用に指定された一意の UUID を入力する必要があります。
参考資料: AWS アカウントを自動的に追加する
https://docs.fortinet.com/document/forticnp/22.4.a/online-help/246021/add-aws-account-automatically

GuardDuty、CloudWatch、S3、DynamoDB にサブスクライブする必要があります。