FortiSASEでは、ゼロトラストネットワークアクセス（ZTNA）タグ（セキュリティポスチャタグとも呼ばれます）を使用して、エンドポイントのリアルタイムのセキュリティ状態に基づいてアクセスを動的に許可または拒否します。このメカニズムにより、特定のコンプライアンス要件を満たすデバイスのみが保護されたリソースまたはインターネットにアクセスできるようになります。
* エンドポイント分析：管理対象エンドポイントの図では、Jumpbox には FortiSASE 準拠タグのみが割り当てられているのに対し、Windows AD エンドポイントには FortiSASE 準拠タグと FortiSASE 非準拠タグの両方が割り当てられていることが示されています。これは、Windows AD デバイスのセキュリティ態勢チェックが失敗し、非準拠タグを適用するルールがトリガーされたことを示しています。
* ポリシー評価：セキュアインターネットアクセスポリシーテーブルには、2つのカスタムポリシーが表示されます。1つ目のポリシー「非準拠」は、FortiSASE非準拠タグをソースとして使用し、アクションは「拒否」に設定されています。2つ目のポリシー「Webトラフィック」は、FortiSASE準拠ユーザーのアクセスを許可します。
* 障害の根本原因：FortiSASE（FortiOS 搭載）はセキュリティポリシーをトップダウン方式で処理するため、「非準拠」ポリシーが最初に評価されます。Windows-AD はこの「拒否」ポリシーのソース基準に一致するため、トラフィックは「承認」ポリシーに到達する前にブロックされます。
この図では Windows-AD 上の FortiClient バージョンの警告アイコンが表示されていますが、インターネット停止の直接的な原因は、デバイスのセキュリティ体制の変更 (非準拠タグの適用) によってトリガーされた明示的な拒否ポリシーです。

FortiSASE ポータルに初めてアクセスするときに、管理者はエンドポイント管理、ログ記録、およびサンドボックス サービスのデータ センターの場所を選択して、パフォーマンスの最適化とデータ レジデンシー要件への準拠を確保する必要があります。

リモート ユーザーが既存の FortiGate SD-WAN ハブの背後にある内部アプリケーションにアクセスできるようにするには、顧客は FortiSASE Secure Private Access (SPA) アドオンのライセンスを取得する必要があります。
* セキュア プライベート アクセス (SPA) の使用例: この特定のアドオンは、Fortinet セキュリティ ファブリックを SASE クラウドに拡張するように設計されており、FortiSASE PoP がスポークとして機能し、顧客のオンプレミスの FortiGate がハブとして機能するハブ アンド スポーク アーキテクチャを実現します。
* ライセンス要件：SPAアドオンはハブごと（サービス接続ごと）のライセンスです。SA​​SEインフラストラクチャと企業のFortiGate間のIPsecトンネルとBGPピアリングを確立するために必要な権限を提供します。
* 機能の有効化：SPAライセンスを適用すると、FortiSASEポータルで「構成」>「プライベートアクセス」メニューが利用可能になります。これにより、管理者はプライベートデータセンターまたはクラウドVPCへの「サービス接続」を定義できるようになります。
* その他のオプションの分析:
* オプション A: グローバル アドオンは通常、SASE PoP の地理的範囲またはパフォーマンスの拡張に関連し、特にプライベート リソース ルーティングに関連しません。
* オプション B: ブランチ オンランプは、リモート ユーザーのプライベート アプリケーション アクセス用の特定のライセンスではなく、物理的なオフィスの場所 (シン エッジ) を SASE に接続することを意味します。
* オプション D: 専用のパブリック IP アドレスは、ソース IP アンカー (SIA) に使用され、リモート ユーザーがサードパーティの SaaS IP ホワイトリストに対して一貫した IP で退出できるようにします。

SD-WAN を使用して安全なプライベート アクセスを展開すると、ハブ FortiGate が ZTNA ポスチャ チェックを実行できるようになり、トンネル経由の TCP アプリケーションと UDP アプリケーションの両方がサポートされるため、内部リソースへの柔軟で安全なアクセスが可能になります。

ユーザーがノートパソコンや携帯電話などの管理されていない個人用デバイス (BYOD) を使用する小規模ブランチ オフィス (シン エッジ) の場合、最小限の構成でセキュア インターネット アクセス (SIA) を提供する最も効率的な方法は、FortiAP を導入することです。
* シンエッジ統合：FortiSASEはフォーティネットのWLANポートフォリオとの統合を強化し、FortiAP無線アクセスポイントを「シンエッジ」デバイスとして機能させます。これらのアクセスポイントは、ブランチオフィスからのトラフィックをインテリジェントにオフロードし、最寄りのFortiSASEセキュリティPoP（Point of Presence）に直接誘導します。
* エンドポイントエージェントは不要：デバイスは個人所有で管理されていないため、FortiClientエージェント（オプションA）のインストールは多くの場合、現実的ではないか、望ましくありません。FortiAPを導入すれば、エンドポイントエージェントを必要とせずに、その場所にあるすべてのクライアントデバイスを保護できます。
* 最小限の設定とゼロタッチ：このソリューションは、予算が限られており、現地にITスタッフがいない小規模オフィス向けに特別に設計されています。FortiSASEは、クラウド配信による管理機能とFortiAPのゼロタッチプロビジョニングを提供します。APが接続されると、FortiSASEへの安全なCAPWAPまたはIPsecトンネルが自動的に確立され、接続中のすべてのユーザーがクラウドセキュリティスタック（アンチウイルス、Webフィルタリングなど）によって保護されます。エンドユーザー側での手動設定はほぼ不要です。
* 他のオプションが理想的でない理由:
* オプションCおよびD：SD-WANオンランプとFortiGate LAN拡張は通常、ブランチに物理的なFortiGateアプライアンスが必要です。ユーザーと個人デバイスが10台程度の小規模オフィスでは、シンプルなクラウド管理型のFortiAPと比較して、不要なハードウェアコストと設定の複雑さが増します。