正解は A です。chart、timechart、stats、eventstats。
変換コマンドは、検索結果の形式を表やグラフに変更するコマンドです。
統計計算を実行したり、視覚化を作成したり、さまざまな方法でデータを操作したりするために使用できます1。
トランザクションは、共通の値を共有し、何らかの形で関連しているイベントのグループです。トランザクションは、transaction コマンドを使用するか、transactiontypes.conf ファイル2 でトランザクション タイプを作成することによって定義できます。
いくつかの変換コマンドをトランザクションで使用すると、トランザクション フィールドに基づいてテーブルやグラフを作成できます。これらのコマンドには次のものがあります。
* チャート: このコマンドは、2つ以上のフィールドの関係を示す表またはチャートを作成します。
* 値の集計、発生回数のカウント、統計の計算に使用できます3。
* timechart: このコマンドは、フィールドが時間の経過とともにどのように変化するかを示す表またはグラフを作成します。傾向、パターン、または外れ値をプロットするために使用できます4。
* stats: このコマンドは、検索結果のフィールドの要約統計 (カウント、合計、平均など) を計算します。1 つ以上のフィールドでデータをグループ化および集計するために使用できます5。
* eventstats: このコマンドは、stats と同様に検索結果のフィールドの概要統計を計算しますが、結果を各イベントに新しいフィールドとして追加します。イベントを全体の統計と比較するために使用できます。
これらのコマンドは、トランザクション フィールドを引数として使用することでトランザクションに適用できます。たとえば、ユーザー フィールドに基づいてイベントをグループ化し、期間やイベント数などのフィールドを持つ「ログイン」という名前のトランザクション タイプがある場合、トランザクションで次のコマンドを使用できます。
* | ユーザー別のチャートカウント: このコマンドは、各ユーザーのトランザクション数を示す表またはチャートを作成します。
* | timechart span=1h avg(duration) by user : このコマンドは、各ユーザーのトランザクションの平均所要時間を 1 時間ごとに示す表またはグラフを作成します。
* | stats sum(eventcount) as total_events by user : このコマンドは、すべてのトランザクションにわたる各ユーザーのイベントの合計数を示すテーブルを作成します。
* | eventstats avg(duration) as avg_duration : このコマンドは、すべてのトランザクションの平均期間を示す avg_duration という新しいフィールドを各トランザクションに追加します。
その他のオプションは、変換コマンドではないコマンドやトランザクションで使用できないコマンドが含まれているため無効です。これらのコマンドは次のとおりです。
* diff: このコマンドは、2 つの検索結果を比較し、それらの違いを表示します。これは変換コマンドではなく、トランザクションでは機能しません。
* datamodel: このコマンドは、Splunk でデータを整理および分類する方法であるデータ モデルからデータを取得します。これは変換コマンドではなく、トランザクションでは機能しません。
* pivot: このコマンドは、ピボット レポートを作成します。これは、グラフィカル インターフェイスを使用してデータ モデルからデータを分析する方法です。これは変換コマンドではなく、トランザクションでは機能しません。
参考文献:
* 変換コマンドについて
* 取引について
* チャートコマンドの概要
* タイムチャートコマンドの概要
* 統計コマンドの概要
* [eventstats コマンドの概要]
* [diffコマンドの概要]
* [データモデルコマンドの概要]
* [ピボットコマンドの概要]

Splunk では、トランザクション コマンドを使用して、共通の特性を持つイベントを 1 つのトランザクション 1 にグループ化します。デフォルトでは、トランザクション コマンドは一致するすべてのイベントを 1 つのトランザクション 1 にグループ化します。
ただし、maxspan オプションを使用してトランザクションの期間を制限することができます1。トランザクションの最初のイベントと最後のイベントの間の期間が maxspan 値を超えると、トランザクション コマンドは新しいトランザクションを開始します1。
したがって、検索に maxspan オプションが含まれていない場合、トランザクション内の最初のイベントと最後のイベントの間の時間範囲がデフォルトの maxspan 値 1 を超えると、トランザクション コマンドによって 1 つのトランザクションではなく複数のトランザクションが生成されることがあります。
検索で maxspan オプションを使用する方法の例を次に示します。
index=main sourcetype=access_combined | transaction someuniqefield maxspan=1h この検索で​​は、トランザクション コマンドは、同じ someuniqefield 値を共有するイベントを 1 つのトランザクションにグループ化しますが、トランザクション内の最初のイベントと最後のイベントの間の時間間隔が 1 時間を超えない場合に限ります1。時間間隔が 1 時間を超える場合、トランザクション コマンドは新しいトランザクションを開始します1。

説明
ピボットはレポートやダッシュボードの作成に使用されるという記述は正しいです。ピボットは、データ モデルからテーブル、グラフ、視覚化を作成できるグラフィカル インターフェイスです。データ モデルは、データの編成方法と分類方法を定義する構造化されたデータセットです。ピボットはデータセットを作成せず、既存のデータセットを使用します。

参照：
タグは、イベント内の 1 つ以上のフィールドまたはフィールド値に適用できる説明的なラベルです1。タグを使用すると、長くて複雑なフィールド名や値を短くて単純なタグに置き換えることで、検索を簡略化できます1。タグ名を含むイベントを検索するには、タグ キーワードの後に​​等号とタグ名を続けます1。また、ワイルドカード (*) を使用して、タグ名の一部を一致させることもできます1。したがって、オプション B は Pri で始まるタグ名を含むイベントを返すため、正解です。オプション A と D は、タグ名が完全に一致するイベントのみを返すため、不正解です。オプション C は、Privileged ではなく Priv で始まるタグ名を含むイベントを返すため、不正解です。