正解はDです。
検索マクロは、SPL コードの一部をさまざまな検索で再利用する方法です。検索マクロは引数を取ることができます。引数は、マクロが呼び出されたときに別の値に置き換えることができる変数です。検索マクロには、その中に別の検索マクロを含めることもできます。これはネストされたマクロと呼ばれます1。
マクロ定義で引数を表すには、ドル記号 ($) 文字を使用して引数名を囲む必要があります。たとえば、「object」という名前の引数を 1 つ取る検索マクロを作成する場合は、次の構文を使用できます。
[my_macro(オブジェクト)] 検索ソースタイプ=オブジェクト
これにより、object という引数を 1 つ取る、my_macro という検索マクロが作成されます。検索でマクロを呼び出すときは、次のように object 引数の値を指定する必要があります。
my_macro(ウェブ)
これにより、オブジェクト引数が値 web に置き換えられ、次の SPL コードが実行されます。
検索ソースタイプ=ウェブ
その他のオプションは、引数を表すために引用符 (' または ") またはパーセント記号 (%) を使用しているため正しくありません。これらはマクロ引数の有効な構文ではありません。これらの文字は、変数ではなくリテラル値として解釈されます。
参考文献:
* 検索で検索マクロを使用する

参考:https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/WhatisSplunkknowledge
ナレッジオブジェクトは、データに知識を追加し、検索や分析を容易にするために作成するエンティティです。
分析2。ナレッジオブジェクトの例としては、フィールド抽出、フィールドエイリアス、ルックアップ2などがあります。フィールド
抽出とは、通常の方法などさまざまな手法を使用して生データからフィールドを抽出する方法です。
式、区切り文字、またはキーと値のペア2。フィールドエイリアスは、既存のフィールドに代替名を割り当てる方法です。
元のフィールド名や値を変更せずに2. ルックアップは、追加の情報でデータを充実させる方法です
CSVファイルやデータベースなどの外部ソースからの情報2。これらの知識が
オブジェクト/構成の適用順序は、フィールド抽出、フィールドエイリアス、ルックアップ2の順です。つまり、
Splunkはまず生データからフィールドを抽出し、抽出したフィールドにエイリアスを適用し、
エイリアスフィールド2の参照を実行します。したがって、オプションBが正しいですが、オプションA、C、Dは
正しくない。

説明
「計算フィールドは、すべてのタイプのフィールド抽出とフィールドエイリアスを参照できますが、ルックアップ、イベントタイプ、またはタグを参照することはできません。」