AOS-8アーキテクチャでは、モビリティコントローラ（MC）にステートフルファイアウォールが搭載されており、クライアントトラフィックに対してポリシーを適用します。ファイアウォールはユーザーロールを使用してポリシーを適用し、クライアントのIDとコンテキストに基づいてトラフィックをきめ細かく制御します。
ユーザーロール：AOS-8では、認証後（802.1X、MAC認証、キャプティブポータルなど）に、各クライアントにユーザーロールが割り当てられます。ユーザーロールには、そのロールに属するクライアントに対して許可または拒否されるトラフィックを定義するファイアウォールポリシー（ルール）が含まれています。たとえば、「ゲスト」ロールではHTTP/HTTPSトラフィックのみが許可され、「従業員」ロールではより広範なアクセスが許可される場合があります。
選択肢A「ファイアウォールは、クライアントのユーザーロールに関連付けられたポリシーのルールを適用する」が正解です。AOSファイアウォールは、クライアントに割り当てられたユーザーロールに基づいてトラフィックを評価します。各ロールには一連のポリシー（ルール）があり、これらは順番に適用され、最初に一致したルールによってアクション（許可または拒否）が決定されます。たとえば、クライアントが「従業員」ロールに属している場合、ファイアウォールは「従業員」ロールのポリシーで定義されたルールを適用します。
選択肢Bの「ファイアウォールは、送信元としてクライアントのIPアドレスを含むすべてのルールを適用する」は誤りです。ファイアウォールは、クライアントのIPアドレスのみに基づいてルールを適用するのではなく、ユーザーロールに基づいてルールを適用します。ロール内のルールにはIPアドレスが含まれる場合がありますが、どのルールが評価されるかはロールによって決定されます。
オプションCの「ファイアウォールは、クライアントのWLANに関連付けられたポリシーのルールを適用する」は誤りです。WLAN構成ではクライアントの初期ロール（デフォルトの802.1Xロールなど）が定義されますが、ファイアウォールはクライアントの現在のユーザーロールに基づいてルールを適用します。このユーザーロールは、認証後（例えば、Aruba-User-RoleのようなRADIUS VSA経由）に変更される場合があります。
選択肢D「ファイアウォールは、送信元または宛先としてクライアントのIPアドレスを含むすべてのルールを適用する」は、選択肢Bと同じ理由で誤りです。ファイアウォールは、クライアントのIPアドレスだけでなく、ユーザーの役割に基づいて適用するルールを決定します。
HPE Aruba Networking AOS-8 8.11ユーザーガイドには次のように記載されています。
「モビリティコントローラ上のAOSファイアウォールは、クライアントに割り当てられたユーザーロールに基づいてルールを適用します。各ユーザーロールには、そのロールに属するクライアントに対して許可または拒否されるトラフィックを定義する一連のファイアウォールポリシーが含まれています。たとえば、「従業員」ロールのポリシーには、HTTPトラフィックを許可するipv4 user any http permitのようなルールが含まれている場合があります。ファイアウォールは、クライアントのロール内のルールを順番に評価し、最初に一致したルールによってトラフィックに対するアクションが決定されます。」(325ページ、ファイアウォールポリシーのセクション) さらに、HPE Aruba Networking Security Guideには次のように記載されています。
「AOS-8のユーザーロールは、ファイアウォールポリシーを適用するための強力なメカニズムを提供します。ファイアウォールは、認証時またはAruba-User-RoleなどのRADIUS VSAを介して割り当てられるクライアントのユーザーロールに関連付けられたポリシーを参照することで、クライアントのトラフィックに適用するルールを決定します。」（50ページ、ロールベースアクセス制御のセクション）
:
HPE Aruba Networking AOS-8 8.11 ユーザーガイド、ファイアウォールポリシーのセクション、325ページ。
HPE Aruba ネットワークセキュリティガイド、ロールベースアクセス制御のセクション、50ページ。

WPA3-Enterpriseでは、ペアワイズマスターキー（PMK）はセッションごとに一意であり、同時認証（SAE）と呼ばれるプロセスを使用して生成されます。SAEはWPA3で利用可能な新しいハンドシェイクプロトコルで、WPA2で使用されていた事前共有キー（PSK）よりも優れたセキュリティを提供します。このハンドシェイクプロセスは、オープンネットワークにおけるユーザーのプライバシーを強化し、前方秘匿性を提供します。SAEとその一意のPMK生成における使用方法については、Wi-Fi AllianceのWPA3仕様書および関連技術文書を参照してください。

Aruba ClearPass Device Insightを効果的に導入するには、特に複数の拠点を持つ環境においては、本社または中央データセンターにDevice Insight Collectorを2台設置することをお勧めします。
この導入戦略は、データ収集と分析を一元化するのに役立ち、異なる拠点を接続するWANリンクへのデータ負荷を軽減することで、管理を簡素化し、パフォーマンスを向上させます。
コレクターを主要拠点またはデータセンターに集中させることで、ネットワーク管理システムの拡張性と信頼性が向上します。この構成は、ネットワーク全体にわたるデバイスの監視と分析をより一貫性のある包括的なものにし、セキュリティおよび管理ポリシーが均一に適用されることを保証するのにも役立ちます。この推奨事項は、ネットワークアーキテクチャ設計のベストプラクティス、特にArubaの導入ガイドおよびネットワーク管理戦略で説明されている内容に基づいています。