エンドポイントにパッシブ エージェントをインストールするために使用される方法は次のとおりです。
D: ユーザーまたは展開ツールによってインストールされる: パッシブ エージェントは通常、ユーザーによって手動で、または組織が使用する展開ツールを通じて自動的にエンドポイントにインストールされます。
他のオプションでは、パッシブ エージェントのインストールが正確に説明されていません。
A: ログイン/ログアウト スクリプトを使用して展開します。これは、パッシブ エージェントを展開する標準的な方法ではありません。
B: エージェントは Playstore からダウンロードされます: これはモバイル デバイスに関連しており、パッシブ エージェントのインストールの一般的な方法を表すものではありません。
C: エージェントはキャプティブ ポータルからダウンロードされ、実行されます。この方法は通常、パッシブ エージェントのインストールには使用されません。
参考文献:
FortiNAC エージェント導入ガイド。
FortiNAC でのパッシブ エージェントのインストール方法。

証明書ベースの認証は、信頼できる機関によって発行されたデジタル証明書を使用して、デバイスまたはユーザーの ID を検証する方法です。ZTNA 展開では、証明書ベースの認証を使用して、許可されたデバイスとユーザーのみが保護されたアプリケーションまたはリソースにアクセスできるようにします。
B: 空の証明書に対するデフォルトのアクションはブロックです。これは、ZTNA がアクセスを許可する前にデバイスとユーザーの両方の検証を必要とするためです。デバイスに ZTNA CA によって発行された有効な証明書がない場合、そのデバイスは ZTNA ゲートウェイによってブロックされます。これにより、不正なデバイスや侵害されたデバイスがネットワークにアクセスするのを防ぎます。
D: クライアント証明書の構成は、ZTNA の必須コンポーネントです。ZTNA はクライアント証明書に依存してデバイスを識別および認証するため、これは当てはまります。クライアント証明書は ZTNA CA によって生成され、デバイス ID、ZTNA タグ、およびその他の情報が含まれます。クライアント証明書は、ZTNA 管理サーバー (EMS など) によってデバイスに配布され、ZTNA ゲートウェイとの安全な接続を確立するために使用されます。
A: FortiGate は、FortiClient によって送信されたクライアント証明書に署名します。FortiGate はクライアント証明書に署名しないため、これは false です。クライアント証明書は、FortiGate とは別のエンティティである ZTNA CA によって署名されます。FortiGate はクライアント証明書のみを検証し、ZTNA タグに基づいて証明書アクションを実行します。
C: 証明書アクションは FortiGate CLI でのみ設定できます。証明書アクションは FortiGate GUI と CLI の両方で設定できるため、これは false です。証明書アクションは、クライアント証明書の ZTNA タグに基づいて FortiGate が実行するアクションです。たとえば、FortiGate は、ZTNA タグに基づいてトラフィックを許可、ブロック、またはリダイレクトできます。
参考文献:
1: 技術的なヒント: SAML 認証と IDP としての FortiAuthenticator を使用する企業ホスト向けの ZTNA
2: ゼロトラスト ネットワーク アクセス - フォーティネット

この展示では、ネットワーク セキュリティに関連するさまざまな設定が表示される EMS 設定を示します。
選択肢 C は正解です。設定では、HTTPS ポートが使用され (TCP 上で動作する)、SSL 証明書が接続の保護に関与していることが示されており、FortiClient と FortiClient EMS 間の暗号化と安全な通信に TLS が使用されることを暗示しています。
FortiClient の接続先のドメインが証明書の発行先のドメインと一致する必要がないため、オプション A は不正解です。証明書は、ドメインとは別のエンティティである ZTNA CA によって発行されます。証明書には、デバイス ID、ZTNA タグ、およびデバイスの識別と認証に使用されるその他の情報のみが含まれています。
オプション B は不正解です。FortiClient EMS サーバー証明書が無効な場合、FortiClient はサイレント接続しないからです。代わりに、設定で構成されている無効な証明書アクションが実行されます。無効な証明書アクションは、接続をブロック、警告、または許可するように設定できます。
オプション D は不正解です。default_ZTNARoot CA は、FortiClient EMS への SSL 接続用の FortiClient 証明書に署名しません。FortiClient 証明書は、default_ZTNARoot CA とは異なる認証局である ZTNA CA によって署名されます。default_ZTNARoot CA は、EMS サーバーの ID を検証するために使用される EMS CA 証明書です。
参考文献:
[1]: 技術的なヒント: SAML 認証と IDP としての FortiAuthenticator を使用する企業ホスト向けの ZTNA
[2]: ゼロトラスト ネットワーク アクセス - フォーティネット

永続エージェントは、Windows、macOS、または Linux ホスト上で動作し、FortiNAC Manager に対してホストを識別し、エンドポイント コンプライアンス ポリシーに準拠しているかどうかをスキャンするアプリケーションです。永続エージェントは、高度なカスタム スキャンとソフトウェア インベントリをサポートし、サプリカント構成をホストに適用し、自動登録と認証に使用できます。参考資料 := 永続エージェント Windows 上の永続エージェント 永続エージェントの使用

FortiNAC は、SNMP または CLI を使用してルーターやスイッチなどのネットワーク デバイスと通信します。レイヤ 3 ルーターをインベントリに追加するには、ポーリング、VLAN 割り当て、ポート シャットダウンなどのリモート タスクを実行するために、FortiNAC がルーターに SNMP または CLI アクセスできる必要があります。SNMP または CLI アクセスがなければ、FortiNAC はルーターまたはそのポートを管理できません。したがって、SNMP または CLI アクセスは、レイヤー 3 ルーターを FortiNAC のインベントリに追加するための前提条件です。参考文献:= https://docs.fortinet.com/document/fortinac/9.4.0/administration-guide/105927/inventor
https://docs.fortinet.com/document/fortinac/9.4.0/administration-guide/344098/l3-polling