Splunk Common Information Model (CIM) アドオンを使用してデータを正規化する場合に推奨されるアプローチは A です。CIM データ モデルの参照テーブルを参照してください。これは、CIM データ モデル参照テーブルが、データ モデル内の各データセットに必要なフィールドとタグに関する詳細情報を提供するためです。参照テーブルを参照すると、データ ソースに関連するデータ モデルと、データ フィールドを CIM フィールドにマップする方法を判断できます。参照テーブルを使用してデータを検証し、正規化に関する問題のトラブルシューティングを行うこともできます。CIM データ モデルのリファレンス テーブルは、Splunk ドキュメント 1 または Splunk Web2 のデータ モデル エディター ページにあります。他のオプションは、CIM アドオンまたはデータ正規化に関連していないため、正しくありません。認証コマンドは、認証データ モデルに対してイベントを検証するカスタム コマンドですが、他の種類のデータの正規化には役立ちません。相関コマンドは、イベント フィールドの統計分析を実行する検索コマンドですが、データ フィールドを CIM フィールドにマッピングするのには役立ちません。イベント タイプは CIM アドオンの一部ではないため、CIM イベント タイプ参照テーブルは存在しません。

説明
説明/参照: https://docs.splunk.com/Documentation/Splunk/8.0.4/SearchReference/Timechart

正解は B です。最初に表示されるため、productName フィールドの値です。
coalesce 関数は、任意の数の引数を受け取り、最初の引数を返す eval 関数です。
null ではない値。null 値はフィールドに値がまったくないことを意味し、空の値はフィールドに値がないことを意味します。
フィールドに値がありますが、それは "" または長さ 0 です 1。
coalesce 関数を使用すると、名前は異なるが同じデータを表すフィールドを結合できます。
IP アドレスやユーザー名など。Coalesce 関数を使用して、フィールドの名前を変更してわかりやすくすることもできます。
利便性２．
合体関数の構文は次のとおりです。
合体(<フィールド1>,<フィールド2>,...)
coalesce 関数は、引数リスト内の null ではない最初のフィールドの値を返します。すべてのフィールドが
null の場合、合体関数は null を返します。
たとえば、IP アドレスが clientip または ipaddress に抽出される一連のイベントがある場合、
coalesce 関数を使用して、clientip または ipaddress のいずれかの値を取る ip という新しいフィールドを定義できます。
どちらが null ではないかに応じて、次のようになります。
| eval ip=coalesce(クライアントチップ,ipaddress)
この例では、製品名が productName または のいずれかに抽出される一連のイベントがあります。
productid を指定し、coalesce 関数を使用して、productINFO という新しいフィールドを定義します。このフィールドは、次の値を取ります。
productName または productid (どちらが null でないかに応じて):
| eval productINFO=coalesce(製品名,製品ID)
productName フィールドと productid フィールドの両方に特定のイベントの値がある場合、coalesce 関数は
productName フィールドの値。引数リストの最初に表示されるためです。productid フィールドは無視されます
合体機能により。
したがって、両方のフィールドが存在する場合、productName フィールドの値が productINFO フィールドの入力に使用されます。
特定のイベントの値を持ちます。
参考文献:
検索コマンド＞合体
SPLUNK 評価機能の使用法: Coalesce

フィールド エクストラクター (FX) は、グラフィカル インターフェイスやイベントを使用してイベントからフィールドを抽出するのに役立つツールです。
正規表現を手動で編集する2。FX を使用すると、次のように保持されるフィールド抽出を作成できます。
ナレッジ オブジェクト。データにナレッジを追加し、データの収集を容易にするために作成するエンティティです。
検索と分析2. フィールド抽出は、さまざまな方法を使用して生データからフィールドを抽出する方法です。
正規表現、区切り文字、キーと値のペアなどの手法2。フィールド抽出を作成するとき
FX を使用すると、検索時にデータに適用されるナレッジ オブジェクトとして保存できます2。あなたもすることができます
フィールド抽出を管理し、組織内の他のユーザーと共有します2。したがって、選択肢 C が正解です。
一方、オプション A、B、D は、FX の使用法について説明していないため、不正確です。