クラウド環境への変更を最小限に抑え、コンピューティングリソースを最適化し、セキュリティポリシーを統一するという企業の要件を満たすには、AWSとAzure向けにネイティブなクラウドNGFWソリューションを導入し、Panoramaを使用してポリシーを一元管理するのが最善のアプローチです。
Azureでは、vNET内にデプロイされたCloud NGFW for Azureを使用することで、アーキテクチャ全体の再設計を必要とせずに、セキュリティアプライアンスを介してトラフィックを効率的にルーティングできます。このアプローチは、セキュリティを維持しながら、Azureの既存のルーティングメカニズムと整合性が取れています。
AWSでは、Cloud NGFW for AWSを中央集中型のセキュリティVPCにデプロイし、AWS Transit Gatewayと統合することで、個々のワークロードを変更することなく、接続されているすべてのVPCのトラフィック検査が可能になります。この方法により、セキュリティの一貫性を維持しながら、効率的なスケーリングと最小限のインフラストラクチャ変更を実現できます。

Palo Alto Networksファイアウォールでカスタムレポートを生成する場合、管理者はまずレポートのクエリ対象となるデータベースを選択する必要があります。ファイアウォールは、レポート作成のために主に2種類のデータベース（サマリーデータベースと詳細ログ）を保持しています。サマリーデータベースは15分ごとにデータを集約してレポート生成を高速化する一方、詳細ログは個々のイベントを詳細に表示します。
カスタムレポートに使用可能な有効なデータベースは以下のとおりです。
* 概要データベース：トラフィック、脅威、URLフィルタリング、アプリケーション統計、トンネル検査。
* 詳細ログ:トラフィック、脅威、URLフィルタリング、WildFire送信、データフィルタリング、HIPマッチ、GlobalProtect、IPタグ、ユーザーID、復号、トンネル、認証、およびSCTP。
オプションAが正解です。なぜなら、4つのコンポーネント（脅威、URLフィルタリング、WildFire送信、GlobalProtect）はすべて、カスタムレポート設定（監視 > カスタムレポートの管理 > 追加）の「データベース」ドロップダウンメニューから選択できる、それぞれ異なる有効なデータベースタイプだからです。
オプション B も有効なデータベースで構成されていますが、Palo Alto Networks の認証目標のコンテキストでは、セキュリティ関連のネットワーク イベントの可視性を示すために、通常はオプション A が強調表示されます。オプション C は、「Endpoint Security」がファイアウォールのレポート エンジンで有効なデータベース名ではないため、誤りです (ファイアウォールはホスト情報に「HIP Match」を使用します)。オプション D は、「Config」および「System」ログは通常標準のログ ビューアで表示され、カスタム レポート ビルダーのソース データベースとして利用できないため、誤りです。また、このコンテキストには「Session Flow」データベースもありません。

Basic Concept: Direct authentication to the firewall produces highly reliable user-to-IP mapping because the firewall itself observes the login event.
Why A is Correct: Portal authentication is correct here because it creates the mapping from a direct authentication event rather than inferring the user from external logs.
Why B is Wrong: PAN-OS XML API to push mappings is a valid Palo Alto Networks or networking concept in another context, but it does not implement the exact configuration outcome required by this question.
Why C is Wrong: Polling security event logs with a User-ID agent is a valid Palo Alto Networks or networking concept in another context, but it does not implement the exact configuration outcome required by this question.
Why D is Wrong: Authentication logs from Syslog receiver is a valid Palo Alto Networks or networking concept in another context, but it does not implement the exact configuration outcome required by this question.

基本概念：SSLフォワードプロキシでは、エンドポイントがファイアウォールの発行するCA証明書を信頼する必要があります。そうでない場合、ブラウザは動的に生成された代替証明書を拒否します。
Aが正解である理由：クライアントが復号化中にファイアウォールによって生成された証明書を信頼するためには、CA証明書をクライアントの信頼ストアにインポートする必要があります。
Bが間違っている理由：下位CA証明書をすべてのネットワークトラフィックのデフォルトルーティング証明書として設定します。は認証、PKI、またはTLS構成に関連付けられていますが、テストされている証明書検証またはサービスID要件を強制するオブジェクトまたはステップではありません。
Why C is Wrong: Configure the subordinate CA to issue certificates with indefinite validity periods. is associated with authentication, PKI, or TLS configuration, but it is not the object or step that enforces the certificate validation or service identity requirement being tested.
Why D is Wrong: Disable all existing SSL decryption rules until the new certificate is fully propagated. is associated with authentication, PKI, or TLS configuration, but it is not the object or step that enforces the certificate validation or service identity requirement being tested.

基本概念：IPSec VPNの実装には、ファイアウォール/ローカルエンドポイントへのネゴシエーションポリシーと、トンネルインターフェースのゾーンを介したデータトラフィックポリシーの両方が必要です。
AとCが正しい理由：正しい制御方法は、IPSecコンテナアプリケーションがローカルゾーンにアクセスできるようにし、トンネルゾーンに出入りするトラフィックに対するポリシーを作成することです。
Bが間違っている理由：ポリシーは、外部ゾーンとローカルゾーン間のIKEアプリケーションのみを明示的に許可する必要があります。これはVPN構成に関連していますが、このシナリオにおけるセレクタ、トンネルインターフェイス機能、ルーティング、またはセキュリティポリシーに関するPAN-OS固有の要件には対応していません。
Dが間違っている理由：デフォルトのinterzone-defaultセキュリティポリシーは、ファイアウォールとリモートピア間のトンネルネゴシエーショントラフィックを許可するのに十分です。これはVPN構成に関連していますが、このシナリオにおけるセレクタ、トンネルインターフェイス機能、ルーティング、またはセキュリティポリシーに関するPAN-OS固有の要件には対応していません。