FortiSASE でマネージド セキュリティ サービス プロバイダー (MSSP) 機能を有効にするには、より広範な FortiCloud エコシステム内のローカル SASE インスタンスの外部に管理フレームワークを確立する必要があります。
* FortiCloud IAM統合：FortiSASE MSSPポータルは、FortiCloud Identity & Access Management（IAM）を利用して社内チームの管理範囲を定義します。管理者はSASEポータル自体にローカルの「MSSPユーザー」を作成するのではなく、FortiCloud IAMポータルを使用してIAMユーザーに特定のロールベースアクセス制御（RBAC）を割り当てる必要があります。
* 権限とスコープ：これらのRBAC設定は、MSSP管理者がどの顧客テナント（組織単位またはOU）を表示、設定、または監視できるかを決定します。IAMポータルで適切なロールが割り当てられていない場合、アカウントに必要なライセンスがあっても、ユーザーはMSSPポータルとそのマルチテナント表示機能にアクセスできません。
* 階層管理：RBAC が適切に割り当てられると、MSSP 管理者は FortiCloud Organizations サービスを活用して、複数の顧客アカウントを単一の管理画面から管理できます。この一元化されたアプローチにより、テナント間の厳密なデータ分離を維持しながら、顧客ベース全体でセキュリティポリシーと構成を標準化できます。
FortiSASE 25 マルチテナント導入ガイドによると、IAM ポータルを構成することは、顧客の FortiSASE テナントで操作を実行するために必要な権限を MSSP 内部チームに付与するための主な前提条件です。

リモート接続されたエンドポイントの内部 DNS サーバーを使用して内部ホスト名を解決するには、FortiSASE で次の 2 つのコンポーネントを構成する必要があります。
* 分割DNSルール:
* スプリット DNS を使用すると、特定の DNS クエリをパブリック DNS サーバーではなく内部 DNS サーバーに送信するように構成できます。
* これにより、内部ホスト名が組織の内部 DNS インフラストラクチャを使用して解決され、内部ネットワーク リソースのプライバシーと正確性が維持されます。
* スプリットトンネリングの宛先:
* スプリット トンネリングにより、特定のトラフィック (内部ドメインの DNS クエリなど) を VPN トンネル経由でルーティングし、他のトラフィックをインターネットに直接送信できます。
* スプリット トンネリングの宛先を構成することで、内部ホスト名の DNS クエリが VPN 経由で内部 DNS サーバーに送信されるようになります。
参考文献:
FortiOS 7.6 管理ガイド: VPN クライアントのスプリット DNS とスプリット トンネリングの構成に関する詳細を説明します。
FortiSASE 23.2 ドキュメント: 内部ホスト名を安全に解決するためのスプリット DNS とスプリット トンネリングの実装と構成について説明します。

FortiSASE ジオフェンシングと地域コンプライアンスにより、管理者はエンドポイントのパブリック IP アドレスによって決定される物理的な場所に基づいて、リモート ユーザーの接続場所を制御できます。3
* デフォルトの接続動作：FortiSASEはデフォルトで「ベストエフォート」の位置情報ロジックを使用し、ユーザーのレイテンシを最小限に抑えます。管理者がユーザーの国または地域に特定の地域コンプライアンスルールを設定していない場合、FortiClientは近接性に基づいて、利用可能な最も近いFortiSASEセキュリティPoP（Point of Presence）への接続を自動的に試行します。4
* 地域コンプライアンスルール：組織がデータレジデンシーや特定のセキュリティルーティング要件を強制する必要がある場合、地域コンプライアンスルールを作成します。FortiSASE 25機能管理ガイドによると、これらのルールにより、管理者は特定の国におけるデフォルトの「最寄りPoP」の動作をオーバーライドできます。
* 接続オプション：リージョンコンプライアンスルールでは、管理者はトラフィックの宛先を指定する必要があります。システムでは、FortiSASEセキュリティPoPまたはオンプレミスデバイス（ゲートウェイとして機能するFortiGateなど）という2つの異なる接続タイプから選択できます。5 ドキュメントでは、特定のリージョンのコンプライアンス要件を満たすために、ルールはこれらのタイプのいずれか1つを指すように設計されていると規定されています。
* 接続の優先順位: 優先順位テーブルでは複数の接続を管理できますが、地域コンプライアンスのロジックは、ユーザーを指定されたコンプライアンスエントリポイントに誘導することに重点を置いています。オプションDは正しくありません。接続順序は優先順位テーブルとカスタムフェイルオーバー接続テーブルによって決定されます。管理者は手動で接続順序を調整できるため、セキュリティPoPが常に最初になるわけではありません。

FortiSASE の導入では、セキュア プライベート アクセス (SPA) のユースケースは、プライベート データ センターまたはパブリック クラウドでホストされている社内アプリケーションへの安全で高性能な接続をリモート ユーザーに提供するように特別に設計されています。5 これは、主に次の 2 つのアーキテクチャ手法によって実現されます。
* SD-WAN統合 (A): FortiSASEは、既存のフォーティネットセキュアSD-WANネットワークとネイティブに統合されます。6 このアーキテクチャでは、FortiSASEのグローバルPoPがスポークとして機能し、組織のFortiGate SD-WANハブへの自動IPsecトンネルを確立します。これにより、プラットフォームはインテリジェントなアプリケーションステアリングとダイナミックルーティングを使用して、プライベートリソースへの最短かつ最も効率的なパスを見つけ、優れたユーザーエクスペリエンスを実現します。
* ゼロ トラスト ネットワーク アクセス (ZTNA) (B): FortiSASE は、きめ細かなセッションごとのアクセス制御を実施するためのユニバーサル ZTNA を提供します。7 広範なネットワーク アクセスを許可する従来の VPN とは異なり、ZTNA は、すべてのアプリケーション セッションの前に、ユーザーの ID とエンドポイントのセキュリティ状態 (ZTNA タグ経由) を検証します。
これにより、ユーザーは使用を許可された特定の企業アプリケーションにのみアクセスできるようになり、攻撃対象領域が大幅に削減されます。
* その他のオプションの分析: * Thin Edge (C) は、個々のリモート ユーザーが企業のプライベート アプリケーションにアクセスできるようにするための特定の機能ではなく、ブランチ オフィスやマイクロブランチ (通常は FortiExtender を使用) を保護するために使用される接続方法です。
* CASB (D) は、オンプレミスでホストされているプラ​​イベート アプリケーションではなく、Office 365 などのサードパーティ クラウド アプリケーションに対する可視性と制御を提供するために、Secure SaaS Access (SSA) に使用されます。

設定されたログ保持期間が終了すると、FortiSASE は古いログを自動的に削除してストレージを解放し、保持ポリシーへの準拠を維持します。