参考：https://www.edureka.co/blog/splunk-events-event-types-and-tags/

説明/参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Setupasearchworkflowaction

| ここで、10yearAnniversary=更新月年です。
where コマンドは、true または false と評価される式に基づいて検索結果をフィルタリングするために使用されます。where コマンドは、2 つのフィールド、2 つの値、またはフィールドと値を比較できます。where コマンドでは、関数、演算子、ワイルドカードを使用して複雑な式を作成することもできます1。
where コマンドの構文は次のとおりです。
| ここで <式>
式には、比較、計算、論理演算、またはこれらの組み合わせを使用できます。式はイベントごとに true または false に評価される必要があります。
where コマンドを使用して 2 つのフィールドを比較するには、引用符なしでフィールド名を使用する必要があります。たとえば、10yearAnniversary フィールドの値が Renewal-Monthyear フィールドの値と一致するイベントを検索する場合は、次の構文を使用できます。
| ここで、10 周年 = 更新月年
これにより、2 つのフィールドが同じ値を持つイベントのみが返されます。
他のオプションはフィールド名を引用符で囲んでいるため、正しくありません。これにより、where コマンドがフィールド名ではなく文字列値として解釈してしまいます。たとえば、次のように使用すると、
| ここで、「10 周年記念」=「更新月年」
文字列値 '10yearAnnerversary' が文字列値 'Renewal-Monthyear' と等しいイベントがないため、イベントは返されません。
Explanation:
正しい答えは、
参照：
ここでコマンドの使用法