クライアント（例：Chromeブラウザ）がHTTPSサーバーにアクセスすると、サーバーは安全な接続を確立するために証明書を提示します。クライアントはサーバーを信頼するために証明書を検証する必要があります。このシナリオにおける証明書は、以下の特性を持ちます。
件名: myhost.example.com
SAN (Subject Alternative Name): DNS: myhost.example.com; DNS: myhost1.example.com 拡張キー使用法 (EKU): サーバー認証 発行者: MyCA_Signing (中間 CA) サーバーは、MyCA (ルート CA) によって署名された MyCA_Signing の中間 CA 証明書も送信します。
クライアントの信頼済みCA証明書リストに、MyCAまたはMyCA_Signingが含まれていません。
証明書の検証プロセス：
名前検証：クライアントは、サーバーのホスト名（myhost1.example.com）が証明書のサブジェクト名またはSANと一致するかどうかを確認します。ここでは、SANに「myhost1.example.com」が含まれているため、名前検証は成功します。
EKU検証：クライアントは、証明書のEKUにHTTPSに必要な「サーバー認証」が含まれていることを確認します。EKUは「サーバー認証」に正しく設定されているため、この検証は合格です。
信頼チェーンの検証：クライアントは、サーバーの証明書から、信頼済みCA証明書リストにある信頼済みルートCAまでの証明書チェーンを構築します。チェーンは次のようになります。
サーバー証明書（MyCA_Signing発行）
中間CA証明書（MyCA_Signing、MyCA発行）
ルートCA証明書（MyCA。クライアントの信頼ストアに登録されている必要があります） クライアントの信頼済みCA証明書リストにMyCAまたはMyCA_Signingが含まれていないため、クライアントは信頼できるルートCAへの証明書チェーンを構築できません。このため、検証が失敗します。
選択肢A「クライアントに適切な信頼済みCA証明書がありません」が正解です。証明書チェーンを信頼するには、クライアントの信頼ストアにルートCA（MyCA）が含まれている必要があります。MyCAがクライアントの信頼済みCA証明書リストに含まれていないため、クライアントはチェーンを検証できず、証明書は信頼されません。
選択肢Bの「証明書に有効なSANがありません」は誤りです。SA​​Nにはサーバーのホスト名である「myhost1.example.com」が含まれているため、SANは有効です。
選択肢C「証明書に正しいEKUがありません」は誤りです。EKUは「サーバー認証」に設定されており、これはHTTPSに適しています。
選択肢D「証明書に有効なSANがなく、クライアントに適切な信頼済みCA証明書がありません」は、上記の説明にあるようにSANは有効であるため、誤りです。唯一の問題は、信頼済みCA証明書が不足していることです。
HPE Aruba Networking AOS-CX 10.12 セキュリティガイドには次のように記載されています。
「HTTPS通信中にクライアントがサーバーの証明書を信頼するには、クライアントは証明書チェーンを信頼ストア内の信頼できるルートCAに検証する必要があります。ルートCA（例：MyCA）または中間CA（例：MyCA_Signing）がクライアントの信頼済みCA証明書リストにない場合、信頼チェーンを確立できず、クライアントは証明書を拒否します。サブジェクト代替名（SAN）にはサーバーのホスト名を含める必要があり、拡張キー使用法（EKU）にはHTTPS用の「サーバー認証」を含める必要があります。」（205ページ、証明書検証セクション）さらに、HPE Aruba Networking Security Fundamentals Guideには次のように記載されています。
「証明書の検証に失敗する一般的な原因の一つは、クライアントの信頼ストアにルートCA証明書が存在しないことです。例えば、サーバーの証明書が中間CA（例：MyCA_Signing）によって発行され、その中間CAがルートCA（例：MyCA）に連鎖している場合、クライアントはチェーンを信頼するために、ルートCA証明書を信頼済みCA証明書リストに登録しておく必要があります。」（45ページ、「証明書の信頼性に関する問題」の項）
:
HPE Aruba Networking AOS-CX 10.12 セキュリティガイド、証明書の検証セクション、205ページ。
HPE Aruba ネットワークセキュリティ基礎ガイド、証明書の信頼性に関する問題セクション、45ページ。

Aruba ClearPass Device Insight Analyzerは、クラウド上に存在し、コレクターから送信されるメタデータに機械学習と監視型クラウドソーシングを適用することで、Device Insightアーキテクチャにおいて重要な役割を果たします。このアーキテクチャのコンポーネントは、ネットワークから収集された膨大な量のデータを分析し、デバイスを正確に識別および分類する役割を担います。機械学習アルゴリズムとクラウドソーシングによる入力を活用することで、Device Insight Analyzerはデバイスの検出と分類の精度を高め、ネットワーク全体のセキュリティと管理を向上させます。
参考文献：
Aruba ClearPassの公式ドキュメントおよびホワイトペーパーには、Device Insight Analyzerの機能と導入方法が詳しく説明されています。
ネットワークセキュリティソリューションに関する技術記事やプレゼンテーションで、デバイス管理における機械学習とデータ分析の活用について解説しているもの。

ArubaOSの「診断」>「システム」>「ログ設定」ページに「ログ設定」定義を追加する主な理由は、モビリティコントローラ（MC）が特定のカテゴリとレベルのログを転送するSyslogサーバーの設定を構成するためです。この設定により、MCは詳細なログをSyslogサーバーに送信して集中ログ記録と監視を行うことができます。これは、トラブルシューティング、セキュリティ分析、および各種ポリシーへの準拠に不可欠です。
:
ArubaOSのログ管理とSyslog設定に関するドキュメント。

このシナリオでは、AOS-CXスイッチがクライアントトラフィックをAOS-8アーキテクチャのHPE Aruba Networking Mobility Controller（MC）にトンネル接続します。MCは、トンネル接続されたトラフィックに対してファイアウォールポリシーを適用し、ディープパケットインスペクション（DPI）を実行します。MCはAOS-CXスイッチからのトラフィックを受信する専用であり、従業員数は114名（つまり、潜在的なクライアントは114名）です。質問は、MCのライセンス要件についてです。
AOS-CXスイッチからMCへのトンネリング：この構成では、AOS-CXスイッチはレイヤ2デバイスとして機能し、GREやVXLANなどのメカニズムを使用してクライアントトラフィックをMCにトンネリングします（ただし、AOS-8ではGREがより一般的です）。MCは、トンネル化されたトラフィックをワイヤレスクライアントからのトラフィックであるかのように扱い、ファイアウォールポリシーとDPIを適用します。
AOS-8におけるライセンス：
APライセンス（アクセスポイントライセンス）：MCが管理する各APに必要です。ただし、このシナリオではAPではなくAOS-CXスイッチがトラフィックをトンネル接続するため、APライセンスは不要です。
PEFライセンス（ポリシー強制ファイアウォールライセンス）：MC上でステートフルファイアウォールおよびDPI機能を有効にするために必要です。PEFライセンスは、MCがトラフィックを処理するデバイス（スイッチ、APなど）またはユーザーの数に基づいて算出されます。この場合、MCはAOS-CXスイッチからのトラフィックを処理するため、ライセンスは通常スイッチ単位（ユーザー単位または従業員単位ではない）となります。
WCCライセンス（Webコンテンツ分類ライセンス）：URLベースのフィルタリングとWebコンテンツ分類を有効にすることでDPIを強化するオプションのライセンスです。このライセンスは、シナリオにおいて必須要件として記載されていません。
オプションAの「スイッチごとにPEFライセンス1つ」が正解です。MCはAOS-CXスイッチからのトラフィックを受信する専用であり、ファイアウォールポリシーとDPIを適用するため、PEFライセンスが必要です。AOS-8では、スイッチがトラフィックをMCにトンネル接続する場合、PEFライセンスは通常、スイッチごと（ユーザーごとではなく）に必要となります。従業員数が114名の場合、スイッチの数は明記されていませんが、ライセンスモデルはスイッチごとであるため、スイッチごとにPEFライセンスが1つ必要となります。
オプションBの「スイッチ1台につきPEFライセンス1つ、WCCライセンス1つ」は誤りです。PEFライセンスは必須ですが、WCCライセンスは必須要件として記載されていません。WCCは高度なWebフィルタリングのためのものであり、シナリオではその用途は明記されていません。
オプションCの「スイッチ1台につきAPライセンス1つ」は誤りです。APライセンスはAPを管理するためのものであり、スイッチを管理するためのものではありません。今回のシナリオでは、APではなくスイッチがトラフィックをトンネル接続するため、APライセンスは不要です。
オプションDの「スイッチ1台につきAPライセンス1つ、およびスイッチ1台につきPEFライセンス1つ」は、オプションCと同じ理由で誤りです。APライセンスは不要ですが、スイッチ1台につきPEFライセンス1つが必要なのは正しいです。
HPE Aruba Networking AOS-8 8.11ユーザーガイドには次のように記載されています。
「ステートフルファイアウォールポリシーとディープパケットインスペクション（DPI）を有効にするには、モビリティコントローラにポリシー強制ファイアウォール（PEF）ライセンスが必要です。AOS-CXスイッチがクライアントトラフィックをファイアウォール処理のためにMCにトンネルする場合、スイッチごとにPEFライセンスが必要です。ライセンスは、MCにトラフィックを送信するデバイス（スイッチなど）の数に基づいており、ユーザー数に基づいていません。たとえば、10台のスイッチがMCにトラフィックをトンネルする場合、10個のPEFライセンスが必要です。」（375ページ、ライセンス要件のセクション）さらに、HPE Aruba Networking Licensing Guideには次のように記載されています。
「ファイアウォール機能とDPI機能を使用するには、モビリティコントローラ上のPEFライセンスが必要です。スイッチがトラフィックをMCにトンネル接続する構成では、PEFライセンスは通常スイッチごとに必要となります。MCがAPを管理している場合を除き、APライセンスは不要です。Webコンテンツ分類（WCC）ライセンスはオプションであり、高度なURLフィルタリングにのみ必要となります。基本的なDPIにはWCCライセンスは不要です。」（15ページ、PEFライセンスの項）
:
HPE Aruba Networking AOS-8 8.11 ユーザーガイド、ライセンス要件のセクション、375ページ。
HPE Aruba ネットワークライセンスガイド、PEF ライセンスセクション、15 ページ。