集中管理を有効にするには、FortiManager に FortiSASE コネクタが設定されている必要があり、信頼と同期を確立するために FortiSASE と FortiManager の両方が同じ FortiCloud アカウントに登録されている必要があります。

ゼロ トラスト ネットワーク アクセス (ZTNA) のコンテキストでは、セキュリティ ポスチャのタグ付けは、保護されたリソースへのアクセスを許可する前にコンプライアンスとセキュリティ標準を適用するために使用される基本的なメカニズムです。
* きめ細かなアクセス制御: タグ付けの主な目的は、きめ細かなアクセス制御を提供することです。3 ZTNA は、静的な資格情報だけに頼るのではなく、これらの動的なタグを使用して、接続要求の時点でデバイスまたはユーザーが特定のセキュリティ要件を満たしているかどうかを判断します。
* コンプライアンス ベースの適用: エンドポイントのコンプライアンス ステータスに基づいてタグが割り当てられます。
たとえば、FortiSASE エンドポイント管理サービス (EMS) は、デバイスにアクティブなウイルス対策ソフトウェアが搭載されているかどうか、特定の OS バージョンが実行されているかどうか、または企業ドメインに参加しているかどうかを確認できます。5 デバイスがこれらのチェックのいずれかに合格しないと、「準拠」タグが削除され、アクセスが自動的に取り消されます。
* 動的かつ継続的な評価：ログイン時にのみポスチャをチェックする従来のVPNとは異なり、ZTNAポスチャタグは継続的な評価を可能にします。デバイスのセキュリティポスチャが変化すると（例えば、ユーザーがファイアウォールを無効化した場合）、タグはセキュリティファブリック全体でリアルタイムに更新され、ZTNAポリシーによってそれ以降のアクセスが直ちに拒否されます。8
* ポリシーとの統合: FortiGate (ZTNA プロキシとして機能) または FortiSASE 内で、これらのタグは ZTNA ポリシーのソース基準として使用されます。9 必要なタグ (例: 「EMS タグ: Corporate-Managed」) を持つエンドポイントから発信されたトラフィックのみが、保護されたアプリケーションに到達できます。

FortiExtender を FortiSASE LAN 拡張機能として接続するために使用される展開方法は 2 つあります。
* FortiZTP を使用して FortiExtender を FortiSASE に接続します。
* FortiZero Touch Provisioning (FortiZTP) により、FortiExtender が FortiSASE に自動的に接続して構成できるようになるため、導入プロセスが簡素化されます。
* この方法では、手動による構成が最小限で済むため、大規模な展開に効率的です。
* FortiExtender GUI に静的検出サーバーとして FortiSASE ドメイン名を入力します。
* FortiExtender GUI で FortiSASE ドメイン名を手動で設定すると、エクステンダーは FortiSASE インフラストラクチャを検出して接続できるようになります。
* この静的検出方法により、FortiExtender は指定されたドメイン名を使用して FortiSASE との接続を確立できるようになります。
参考文献:
FortiOS 7.6 管理ガイド: FortiExtender の展開方法と構成の詳細。
FortiSASE 23.2 ドキュメント: FortiZTP と静的検出を使用して FortiExtender を FortiSASE に接続および構成する方法について説明します。

FortiSASE は、FortiGate SD-WAN ハブに接続するときに、セキュア プライベート アクセス (SPA) に対して 2 つの主要なルーティング設計方法をサポートしています。
* オーバーレイごとのBGP（従来方式/デフォルト方式）：この構成では、FortiSASE PoPとハブ間の個々のIPsecオーバーレイ（トンネル）ごとに個別のiBGPセッションが確立されます。これらのセッションは、トンネルインターフェースのIPアドレスで終端されます。これを実現するために、ハブは通常、IPsec VPN mode-cfg機能を使用して、トンネルIPアドレスをSASE PoPに動的に割り当てます。システムはLANプレフィックスごとに複数のBGPルート（オーバーレイごとに1つ）を生成するため、ネットワーク全体でアドバタイズされるルートの総数が増加します。
* ループバックBGP（最新の代替手段）：この新しい設計では、スポークとハブの間に、物理オーバーレイまたは論理オーバーレイ（トンネル）がいくつ接続されていても、単一のiBGPセッションのみを確立します。セッションは、両側のループバックインターフェースで終端されます。
* ループバックにおける BGP の主な利点:
* 複雑さの軽減: 管理するネイバーが少なくなるため、BGP 構成が大幅に簡素化されます。2
* スケーラビリティの向上: LAN プレフィックスごとに 1 つの BGP ルートのみが生成されるため、アドバタイズされるルートの量が大幅に削減され、大規模な展開に適しています。
* 回復力: ループバックが利用可能なオーバーレイのいずれかを介して到達できる限り、BGP セッションはアクティブなままです。つまり、単一のオーバーレイに障害が発生した場合、BGP コンバージェンスは必要ありません。

FortiSASEでは、FortiClientをアップグレードする際に、エンドポイントアップグレードルールを設定し、特定のエンドポイントグループに割り当てることが推奨されます。これにより、管理対象デバイス全体で制御された自動アップグレードが実現します。