このシナリオでは、Azure サービス プリンシパル アカウントにコントリビューター ロールがないことが問題の原因です。これは、FortiGate HA フローティング IP が適切に機能するために必要です。このロールがないと、フェイルオーバー後に新しいプライマリ デバイスに以前のプライマリ デバイスのフローティング IP アドレスが付与されません。参照: Fortinet パブリック クラウド セキュリティのナレッジ ソース ドキュメントまたは学習ガイド。
https://docs.fortinet.com/product/fortigate-public-cloud/7.2

ネットワーク セキュリティ グループ ルール: AWS は、EC2 インスタンスなどの AWS リソースへの受信トラフィックと送信トラフィックを制御する仮想ファイアウォールとしてセキュリティ グループを使用します。FortiGate VM のパブリック インターフェイスが HTTPS または SSH トラフィックを受信して​​いない場合は、そのインターフェイスに関連付けられた受信セキュリティ グループ ルールによって、必要なポート (HTTPS - ポート 443、SSH - ポート 22) へのアクセスが許可されていないことが原因である可能性があります。
トラブルシューティング: 管理者は、FortiGate VM のネットワーク インターフェイスのセキュリティ グループ ルールが、管理アクセスに使用される特定のポートでの受信トラフィックを許可していることを確認する必要があります。これらのルールが存在しないか、誤って構成されている場合、意図したトラフィックがブロックされ、接続できなくなります。
Explanation:
管理者がパブリック IP アドレスを使用して FortiGate VM にアクセスできず、トラフィックが FortiGate の外部インターフェイスに到達しない状況を考慮すると、管理者は次の点を確認する必要があります。

ネットワーク ACL はステートレスであり、定義したルールに基づいて各パケットを個別に評価します。ルールは、番号が最も小さいルールから順に処理されます。トラフィックがルールに一致すると、そのルールが適用され、それ以上のルールは評価されません。したがって、サブネットへの SSH トラフィックを許可する場合は、ルール番号 5 の上に、SSH および Telnet トラフィックを拒否する新しい SSH 許可ルールを作成する必要があります。そうしないと、拒否ルールが優先され、SSH トラフィックがブロックされます。

正解は B と C です。スポーク VPC の両方のランディング サブネットには、TGW への 0.0.0.0/0 トラフィック ルートが必要です。セキュリティ VPC の両方のランディング サブネットには、FortiGate ポート 2 への 0.0.0.0/0 トラフィック ルートが必要です。
Transit Gateway の AWS ドキュメントによると、トランジットゲートウェイは、VPC とオンプレミスネットワークを接続するネットワークトランジットハブです。Linux インスタンスからセキュリティ VPC 経由でインターネットにアウトバウンドトラフィックを送信するには、次の手順を実行する必要があります。
スポーク VPC のメイン サブネット ルーティング テーブルに、宛先 0.0.0.0/0、ネクスト ホップ TGW の新しいルートを追加します。このルートは、Linux インスタンスからのすべてのトラフィックを TGW に送信し、TGW はそれを TGW ルート テーブルに基づいて適切な宛先に転送します。セキュリティ VPC のメイン サブネット ルーティング テーブルに、宛先 0.0.0.0/0、ネクスト ホップ FortiGate ポート 2 の新しいルートを追加します。
このルートは、TGW からのすべてのトラフィックを FortiGate 内部インターフェイスに送信し、そこで FortiGate ポリシーによって検査および許可できるようになります。