正解はDです。
検索マクロは、SPL コードの一部をさまざまな検索で再利用する方法です。検索マクロは引数を取ることができます。引数は、マクロが呼び出されたときに別の値に置き換えることができる変数です。検索マクロには、その中に別の検索マクロを含めることもできます。これはネストされたマクロと呼ばれます1。
マクロ定義で引数を表すには、ドル記号 ($) 文字を使用して引数名を囲む必要があります。たとえば、「object」という名前の引数を 1 つ取る検索マクロを作成する場合は、次の構文を使用できます。
[my_macro(オブジェクト)] 検索ソースタイプ=オブジェクト
これにより、object という引数を 1 つ取る、my_macro という検索マクロが作成されます。検索でマクロを呼び出すときは、次のように object 引数の値を指定する必要があります。
my_macro(ウェブ)
これにより、オブジェクト引数が値 web に置き換えられ、次の SPL コードが実行されます。
検索ソースタイプ=ウェブ
その他のオプションは、引数を表すために引用符 (' または ") またはパーセント記号 (%) を使用しているため正しくありません。これらはマクロ引数の有効な構文ではありません。これらの文字は、変数ではなくリテラル値として解釈されます。
参照：
検索で検索マクロを使用する

参照:https://docs.splunk.com/Documentation/Splunk/8.0.3/SearchReference/Transaction
トランザクションコマンドと統計コマンドのどちらを選択するかを決める際に役立つステートメントの1つは、
トランザクションコマンド3では1000イベントの制限があります。トランザクションコマンドはイベントをグループ化するために使用されます。
1つ以上のフィールドで共通の値を共有するトランザクション3を作成します。トランザクションコマンドにはデフォルトで
1トランザクションあたり1000イベントの制限があり、1000を超えるイベントを1つのトランザクションにグループ化することはできません。
この制限はmaxeventsパラメータを使用して変更できますが、パフォーマンスに影響を与える可能性があります。
Splunk3のメモリ使用量。したがって、オプションCは正解ですが、オプションA、B、Dは不正解です。
これらは、ユーザーがトランザクション コマンドと統計コマンドのどちらかを選択するのに役立つステートメントではありません。

| join employeeNumber type=outer コマンドを使用して Splunk で外部結合を実行すると、employeeNumber フィールドに基づいて両方のテーブルの行が結合されます。外部結合では、両方のテーブルのすべての行が返され、可能な場合は両側の一致する行が返されます。一致しない場合は、一致しない結合側の結果は NULL になります。
提供されたテーブルでは、最初のテーブルに 5 行、2 番目のテーブルに 3 行あります。これは外部結合なので、両方のテーブルのすべての行が返されます。つまり、新しいテーブルには、両方のテーブルの一致した行と一致しない行を結合した合計 8 行が含まれることになります。
参考文献:
* join コマンドに関する Splunk ドキュメント。
* 結合の使用方法と結合の種類に関する Splunk コミュニティのディスカッション。

Splunk でタグに関連付けられたイベントを見つけるための正しい構文は、tag=<値>1 です。したがって、正解は D です。
tag=<値>。この構文を使用すると、検索結果内の指定されたフィールドにタグ1 を注釈付けできます。
Splunk では、タグはデータ内のフィールド値に意味のあるエイリアスを追加するために使用できるナレッジ オブジェクトの一種です1。たとえば、データに status_code というフィールドがある場合、200、404、500 などのさまざまなステータス コードがある可能性があります。これらのステータス コードに、200 の場合は success、404 の場合は not_found、500 の場合は server_error などのタグを作成できます。次に、検索で tag コマンドを使用して、これらのタグに関連付けられたイベントを見つけることができます1。
以下は、検索で tag コマンドを使用する方法の例です。
インデックス=メイン ソースタイプ=アクセス結合 | タグ ステータスコード
この検索で​​は、tag コマンドが検索結果の status_code フィールドに、対応するタグを注釈付けします。
ステータスコード200にsuccess、ステータスコード404にnot_found、ステータスコード
500 withserver_error の場合、検索結果にはこれらのタグ1 が含まれます。
特定のタグ値を持つ tag コマンドを使用して、そのタグに関連付けられたイベントを検索することもできます。たとえば、次の検索では、ステータス コードが success でタグ付けされているすべてのイベントが検索されます。
index=main sourcetype=access_combined | tag status_code | search tag::status_code=success この検索で​​は、tagコマンドがstatus_codeフィールドに対応するタグを注釈付けし、searchコマンドが結果をフィルタリングして、status_codeフィールドにsuccess1のタグが付けられたイベントのみを含めます。

説明
トランザクション コマンドは、1 つ以上のフィールドで共通の値を共有するイベントをトランザクションにグループ化するために使用されます2。トランザクション コマンドは、各イベント グループにトランザクション ID を割り当て、各トランザクションの期間、イベント数、イベント リストなどの新しいフィールドを作成します2。少なくとも 1 つの REJECT イベントを含むトランザクション内のすべての寄与イベントを識別するには、次の構文を使用できます: index=main | transaction sessionid | search REJECT2。この検索で​​は、最初にセッション ID でイベントをグループ化し、次にイベントに REJECT を含まないトランザクションをフィルターで除外します2。したがって、オプション B は正しいですが、オプション A、C、および D は、トランザクション コマンドまたは検索コマンドを使用するための正しい構文に従っていないため、正しくありません。