説明
フィールド エイリアスは、Splunk のフィールドの別名です。フィールド エイリアスは、同じ概念に対して異なるフィールド名を持つ異なるソースおよびソースタイプ間でデータを正規化するために使用できます。たとえば、src_ip のフィールド エイリアスを作成し、clientip、source_address、または異なるソースタイプのソース IP アドレスを表すその他のフィールド名にマップできます。フィールド エイリアスは、ルックアップ ファイル定義で使用して、データ内のフィールドをルックアップ ファイル内のフィールドにマップすることもできます。たとえば、src_ip のフィールド エイリアスを使用して、IP アドレスの位置情報を含むルックアップ ファイル内の ip_address にマップできます。フィールド エイリアス名は元のフィールド名を置き換えるのではなく、異なる名前でフィールドのコピーを作成します。フィールド エイリアス名は、検索の一部として使用される場合、大文字と小文字が区別されます。つまり、src_ip と SRC_IP は異なるフィールドです。

検索ワークフロー アクションを元の検索と同じ時間範囲を使用するように構成するには、「フィールド リストを作成した検索と同じ時間範囲を使用する」オプションをオンにする必要があります。これにより、時間範囲が元の検索から継承されます。
参考文献:
Splunk ドキュメント - 検索ワークフロー アクション

説明
正解は C です。フィールド A の値がフィールド B の値と等しいイベント。
where コマンドは、true または false に評価される式に基づいて検索結果をフィルタリングするために使用されます。
where コマンドは、2 つのフィールド、2 つの値、またはフィールドと値を比較できます。また、where コマンドでは、関数、演算子、ワイルドカードを使用して複雑な式を作成することもできます1。
where コマンドの構文は次のとおりです。
| where <式>
式は、比較、計算、論理演算、またはこれらの組み合わせにすることができます。式は、各イベントに対して true または false に評価される必要があります。
where コマンドを使用して 2 つのフィールドを比較するには、引用符なしでフィールド名を使用する必要があります。たとえば、フィールド A の値がフィールド B の値と一致するイベントを検索する場合は、次の構文を使用できます。
| ここでA=B
これにより、2 つのフィールドの値が同じイベントのみが返されます。
その他のオプションは、異なる構文または where コマンドに関連しないフィールドを使用しているため、正しくありません。これらのオプションは次のとおりです。
A: where A=B という文字列値を含むイベント: このオプションは、where コマンドの有効な構文ではない、where A=B という文字列値を検索語として使用します。このオプションは、"where A=B" というリテラル テキストを含むイベントを返します。
B: 文字列値A=Bを含むイベント: このオプションは、検索語として文字列値A=Bを使用しますが、これはwhereコマンドの有効な構文ではありません。このオプションは、リテラルテキストを含むイベントを返します。
それらでは「A=B」です。
D: フィールド A に文字列値 B が含まれるイベント: このオプションでは値 B を引用符で囲みますが、これは where コマンドでフィールドを比較する場合の有効な構文ではありません。引用符は、検索2 でフレーズまたは完全一致を囲むために使用されます。このオプションは、フィールド A に文字列値 "B" が含まれるイベントを返します。
参考文献:
whereコマンドの使用法
検索コマンドチートシート

参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/SetupaGETworkflowaction GET ワークフロー アクションを作成するために必要な情報には、ワークフロー アクションの名前、検索時にユーザーが誘導される URI、検索時にイベント アクション メニューに表示されるラベルなどがあります。GET ワークフロー アクションは、検索結果のフィールド値をクリックしたときに GET 要求を実行するタイプのワークフロー アクションです。GET ワークフロー アクションは、次のようなさまざまなオプションを使用して設定できます。
ワークフロー アクションの名前: これは、Splunk によって内部的に使用されるワークフロー アクションの一意の識別子です。名前は、ワークフロー アクションの目的を説明する意味のあるものにする必要があります。
あ
検索時にユーザーが誘導されるURI: これは、GETリクエストを受信する外部WebサービスまたはアプリケーションのベースURLです。URIには、検索時に実際のフィールド値に置き換えられるフィールド値変数を含めることができます。たとえば、フィールド値変数ipがある場合、次のように記述できます。
http://example.com/ip=$ip は、IP アドレスをパラメーターとして外部 Web サービスまたはアプリケーションに送信します。
検索時にイベント アクション メニューに表示されるラベル: これは、検索結果のフィールド値をクリックしたときにイベント アクション メニューに表示されるワークフロー アクションの表示名です。ラベルは、ワークフロー アクションの内容をユーザーが理解できるように、明確かつ簡潔にする必要があります。
したがって、選択肢 A、B、C が正解です。

maxspan オプションは含まれていません1。
Splunk では、トランザクション コマンドを使用して、共通の特性を持つイベントを 1 つのトランザクション 1 にグループ化します。デフォルトでは、トランザクション コマンドは一致するすべてのイベントを 1 つのトランザクション 1 にグループ化します。
ただし、maxspan オプションを使用してトランザクションの期間を制限することができます1。トランザクションの最初のイベントと最後のイベントの間の期間が maxspan 値を超えると、トランザクション コマンドは新しいトランザクションを開始します1。
したがって、検索に maxspan オプションが含まれていない場合、トランザクション内の最初のイベントと最後のイベントの間の時間範囲がデフォルトの maxspan 値 1 を超えると、トランザクション コマンドによって 1 つのトランザクションではなく複数のトランザクションが生成されることがあります。
検索で maxspan オプションを使用する方法の例を次に示します。
index=main sourcetype=access_combined | transaction someuniqefield maxspan=1h この検索で​​は、トランザクション コマンドは、同じ someuniqefield 値を共有するイベントを 1 つのトランザクションにグループ化しますが、トランザクション内の最初のイベントと最後のイベントの間の時間間隔が 1 時間を超えない場合に限ります1。時間間隔が 1 時間を超える場合、トランザクション コマンドは新しいトランザクションを開始します1。
Explanation:
正解は