https://docs.splunk.com/Documentation/Splunk/8.0.2/Knowledge/SetupaGETworkflowaction GET ワークフロー アクションを定義する手順 [設定] > [フィールド] > [ワークフロー アクション] に移動します。
[新規] をクリックして、新しいワークフロー アクション フォームを開きます。
アクションのラベルを定義します。
ラベル フィールドを使用すると、フィールドまたはイベント ワークフロー メニューに表示されるテキストを定義できます。ラベルは静的にすることも、関連するフィールドの値を含めることもできます。
ワークフロー アクションがデータ内の特定のフィールドまたはイベント タイプに適用されるかどうかを決定します。
1 つ以上のフィールドを識別するには、[次のフィールドにのみ適用] を使用します。フィールドを識別すると、ワークフロー アクションは、イベント メニューまたはフィールド メニューのいずれかで、それらのフィールドを持つイベントに対してのみ表示されます。空白のままにするか、アスタリスクを入力すると、アクションはすべてのフィールドのメニューに表示されます。
1 つ以上のイベント タイプを識別するには、[次のイベント タイプにのみ適用] を使用します。イベント タイプを識別すると、ワークフロー アクションは、そのイベント タイプに属するイベントのイベント メニューにのみ表示されます。
[アクションの表示場所] では、アクションを [イベント] メニュー、[フィールド] メニュー、またはその両方のいずれに表示するかを決定します。
アクションタイプをリンクに設定します。
URI では、フィールド値を送信する外部リソースの場所の URI を指定します。
ラベル設定と同様に、フィールドの値を宣言するときは、ドル記号で囲まれたフィールド名を使用します。
URI 経由で GET アクションに渡される変数は、送信中に自動的に URL エンコードされます。つまり、単語や句読点の間にスペースがある値を含めることができます。
[リンクを開く場所] で、ワークフロー アクションを現在のウィンドウに表示するか、新しいウィンドウでリンクを開くかを決定します。
取得するリンクメソッドを設定します。
ワークフロー アクション定義を保存するには、[保存] をクリックします。

timechart コマンドは、検索結果2 に基づいて統計値の時系列チャートを作成するために使用されます。timechart コマンドを by 句とともに使用して、結果を 1 つ以上のフィールドで分割し、チャートに複数のシリーズを作成できます2。ただし、timechart コマンドを使用する場合、_time が既にチャートの x 軸として暗黙的に指定されているため、by 句の後にリストできるフィールドは 1 つだけです2。したがって、オプション B は正しく、オプション A、C、および D は正しくありません。

データを正規化するための標準化されたフィールド名とタグのセットをユーザーに提供します。
Splunk CIM アドオンは、標準化されたフィールド名とデータ モデルのセットを提供します。これにより、ユーザーはさまざまなソースからのデータを共通の形式に正規化および分類できます。これにより、データの相互運用性が高まり、さまざまなデータ ソース間でより高速で一貫性のあるレポート作成と検索が可能になります。
参照：
Splunk ドキュメント - 共通情報モデル (CIM)