正解は B です。HTTP エラー イベントのフィールド値を使用して、外部システムに新しいチケットを作成します。
ワークフロー アクションは、イベント内のフィールドと他の Web リソース間のさまざまなやり取りを可能にするナレッジ オブジェクトです。ワークフロー アクションでは、HTML リンクを作成したり、HTTP POST 要求を生成したり、フィールド値に基づいて二次検索を開始したりできます1。
Splunk Web を使用して設定できるワークフロー アクションには、GET、POST、Search2 の 3 種類があります。
* GET ワークフロー アクションは、特定の値で Google 検索を実行したり、外部の WHOIS データベースに対してドメイン名クエリを実行したりするための一般的な HTML リンクを作成します2。
* POST ワークフロー アクションは、指定された URI への HTTP POST リクエストを生成します。このアクション タイプを使用すると、関連するフィールド値のセットを使用して外部の問題管理システムにエントリを作成するなどの操作を実行できます2。
* 検索ワークフロー アクションは、特定の時間範囲2 におけるインデックス内の ipaddress フィールド値と http_status フィールド値の特定の組み合わせの出現を検索する検索など、イベントの特定のフィールド値を使用するセカンダリ検索を開始します。
したがって、POST ワークフロー アクションを使用する例は B です。HTTP エラー イベントのフィールド値を使用して、外部システムに新しいチケットを作成します。この例では、イベントのフィールド値を引数として、外部システムの URI に HTTP POST 要求を送信する必要があります。
他の例では、異なるタイプのワークフロー アクションを使用します。これらの例は次のとおりです。
* A. イベントで見つかったドメイン値に基づいて外部 IP ルックアップを実行します。この例では、GET ワークフロー アクションを使用して、ドメイン値をパラメータとして外部 IP ルックアップ サービスへのリンクを作成します。
* C. 選択したイベントの 1 つ以上のフィールド値を使用するセカンダリ Splunk 検索を起動する: この例では、検索ワークフロー アクションを使用して、イベントのフィールド値を検索用語として別の Splunk 検索を実行します。
* D. Web ブラウザーを開いて HTTP ステータス コードを検索する: この例では、GET ワークフロー アクションを使用して、HTTP ステータス コードの意味を説明する Web ページへのリンクも作成します。
参考文献:
* Splexicon:ワークフローアクション
* Splunk Webのワークフローアクションについて

参照：
https://docs.splunk.com/Documentation/Splunk/8.0.3/SearchReference/Transaction

正解は D です。field2 の値は field1 の値に置き換えられます。
フィールド エイリアスは、既存のフィールド名に追加の (新しい) 名前を関連付ける方法です。フィールド エイリアスは、名前は異なるが同じデータを表す、異なるソースのフィールドを正規化するために使用できます。また、フィールド エイリアスは、わかりやすくするため、または利便性を高めるためにフィールドの名前を変更するためにも使用できます1。
Splunk Web でフィールド エイリアスを作成するときに、[フィールド値の上書き] オプションを選択して、フィールド エイリアスの動作を変更できます。このオプションは、元のフィールドに値がないか存在しない状況、および元のフィールドと共にエイリアス フィールドがイベント内のフィールドとして既に存在する状況を Splunk ソフトウェアが処理する方法に影響します2。
フィールド値を上書きするオプションを選択した場合、次のルールが適用されます。
* イベント内に元のフィールドが存在しないか値がない場合、エイリアス フィールドはそのイベントから削除されます。
* イベントに元のフィールドとエイリアス フィールドの両方が存在する場合、エイリアス フィールドの値は元のフィールドの値に置き換えられます。
フィールド値の上書きオプションを選択しない場合は、次のルールが適用されます。
* イベント内に元のフィールドが存在しないか値がない場合、そのイベント内のエイリアス フィールドは変更されません。
* イベント内に元のフィールドとエイリアス フィールドの両方が存在する場合、両方のフィールドがそれぞれの値で保持されます。
したがって、field1-field2 というフィールド エイリアスを作成し、[フィールド値の上書き] オプションを選択した場合、イベントに field1 の値のみが含まれていると、field2 の値は field1 の値に置き換えられます。
参考文献:
* 計算フィールドについて
* フィールドエイリアスについて
* Splunk Webでフィールドエイリアスを作成する