evalコマンドは、式2に基づいて新しいフィールドを作成したり、既存のフィールドを変更したりするために使用されます。
コマンドは、1つまたは複数のフィールドで結果を昇順または降順で並べ替えるために使用されます2。
数値フィールドの値を文字列に変換し、それらの値に基づいて並べ替えるには、まずsortコマンドを使用する必要があります。
次にevalコマンドを使用して値を文字列2に変換します。この方法では、sortコマンドは元の
正しく並べ替えられない可能性がある変換された文字列値ではなく、数値を並べ替えに使用します。したがって、
オプション C は正解ですが、オプション A、B、D は不正解です。

この検索文字列は無効です: index=web status=50* | chart count over host,status2。この検索文字列は
チャートコマンドの構文が正しくありません。チャートコマンドでは、over句の後に1つのフィールドが必要であり、
オプションでby句の後に1つのフィールドがあります。ただし、この検索文字列にはover句の後に2つのフィールドがあります。
カンマで区切ってください。これにより構文エラーが発生し、検索が実行されなくなります。したがって、オプションA
は正しいが、オプションBとCはチャートを使用する有効な検索文字列であるため間違っている。
コマンドを正しく実行します。

正解は B です。自動検索によって追加されたフィールドです。
計算フィールドは、eval 式を使用して検索時にイベントに追加されるフィールドです。計算フィールドは、イベントに既に存在する 2 つ以上のフィールドの値を使用して計算を実行できます。計算フィールドは、計算フィールドが定義される前にフィールドが抽出されている限り、任意のフィールドをソースとして使用できます1。
自動ルックアップは、CSV ファイルやデータベースなどの外部ソースからの追加フィールドを使用してイベントを充実させる方法です。自動ルックアップでは、ホスト、ソース、ソースタイプ、その他の抽出されたフィールド2 などの既存のフィールドの値に基づいて、イベントにフィールドを追加できます。自動ルックアップは計算フィールドが定義される前に実行されるため、ルックアップによって追加されたフィールドは計算フィールド3 のソースとして使用できます。
したがって、計算フィールドは、自動ルックアップによって追加されたフィールドをソースとして使用できます。
参照：
計算フィールドについて
ルックアップについて
検索時間処理

Tags are a type of knowledge object that enable you to assign descriptive keywords to events. Tags can reference any of the following knowledge objects: extracted fields, field aliases, calculated fields, lookups, and event types. Tags cannot reference other tags or search macros. Tags are applied to events at search time based on the values of the fields that they reference2
1: Splunk Core Certified Power User Track, page 10. 2: Splunk Documentation, About tags and aliases.

Splunk Common Information Model (CIM)アドオンを使用して正規化する場合の推奨アプローチ
データはAです。CIMデータモデル参照テーブルを参照してください。これは、CIMデータモデル参照テーブルが
データモデル内の各データセットに期待されるフィールドとタグに関する詳細な情報を提供します。
参照テーブルを参照することで、どのデータモデルがデータソースに関連しているかを判断し、
データフィールドをCIMフィールドにマッピングする方法。参照テーブルを使用してデータを検証し、
正規化に関する問題のトラブルシューティングを行います。CIMデータモデル参照テーブルはSplunk
ドキュメント1またはSplunk Web2のデータモデルエディタページで。他のオプションは正しくありません。
これらはCIMアドオンやデータ正規化とは関係ありません。認証コマンドはカスタムです
認証データモデルに対してイベントを検証するコマンドですが、正規化には役立ちません。
他の種類のデータ。相関コマンドは、イベントの統計分析を実行する検索コマンドです。
フィールドはありますが、データフィールドをCIMフィールドにマッピングするのには役立ちません。CIMイベントタイプ参照テーブル
イベント タイプは CIM アドオンの一部ではないため、存在しません。