参考:https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/SetupaGETworkflowaction
GETワークフローアクションを作成するために必要な情報は次のとおりです。ワークフローアクションの名前、
検索時にユーザーが誘導されるURIと、イベントアクションメニューに表示されるラベル。
検索時間。GETワークフローアクションは、クリックするとGETリクエストを実行するワークフローアクションの一種です。
検索結果のフィールド値に基づいて、GETワークフローアクションを設定できます。GETワークフローアクションは、次のようなさまざまなオプションで設定できます。
として：
ワークフローアクションの名前: これは、ワークフローアクションの内部で使用される一意の識別子です。
Splunk。名前は、ワークフロー アクションの目的を説明するわかりやすいものにする必要があります。
あ
検索時にユーザーが誘導されるURI: これは外部ウェブサービスのベースURLまたは
GETリクエストを受信するアプリケーション。URIには、置換されるフィールド値変数を含めることができます。
検索時の実際のフィールド値によって決まります。たとえば、フィールド値変数ipがある場合、次のように記述できます。
http://example.com/ip=$ip は、IP アドレスをパラメーターとして外部 Web サービスまたはアプリケーションに送信します。
検索時にイベントアクションメニューに表示されるラベル: これはワークフローの表示名です
検索結果のフィールド値をクリックしたときにイベントアクションメニューに表示されるアクションです。
ラベルは、ワークフロー アクションが何を行うかをユーザーが理解できるように、明確かつ簡潔にする必要があります。
したがって、選択肢 A、B、C が正解です。

イベント タイプは、検索条件に基づいたイベントのカスタム カテゴリです。イベント タイプを使用すると、エラー、成功、ログイン、ログアウトなどの意味のある名前でイベントにラベルを付けることができます。また、イベント タイプを使用して、トランザクション、アラート、レポート、ダッシュボードなどを作成することもできます。イベント タイプは、次の 2 つの方法で作成できます。
[設定] メニューに移動し、[イベント タイプ] > [新規] をクリックします。これにより、イベント タイプの名前、説明、検索文字列、アプリのコンテキスト、タグを入力できるフォームが開きます。
検索結果でイベントを選択し、[イベント アクション] > [イベント タイプの作成] をクリックします。これにより、イベント タイプの名前と説明を入力できるダイアログ ボックスが開きます。検索文字列は、選択したイベントに基づいて自動的に入力されます。
検索バーの searchtypes コマンドを使用してイベント タイプを作成することはできません。このコマンドは Splunk には存在しないためです。イベント タイプは、props.conf ファイルではなく、transforms.conf ファイルの event_type スタンザを編集することによっても作成できます。

参考: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Aboutdatamodels

参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Usesearchmacros 検索文字列内でマクロを実行する正しい方法は、macro_name($arg1$, $arg2$,
...) で、$arg1$、$arg2$ などはマクロの引数です。この場合、マクロ名は convert_sales で、通貨、シンボル、レートの 3 つの引数を取ります。引数はドル記号で囲み、カンマで区切ります。したがって、マクロを実行する正しい方法は convert_sales($euro$, $€$,
（.79）。

フィールドエイリアスはSplunkのフィールドの別名です。フィールドエイリアスは、複数のフィールド間でデータを正規化するために使用できます。
同じ概念に対して異なるフィールド名を持つ異なるソースとソースタイプ。たとえば、
src_ipのフィールドエイリアスを作成し、clientip、source_address、または他のフィールド名にマッピングします。
異なるソースタイプのソースIPアドレス。フィールドエイリアスは、ルックアップファイルの定義でマッピングに使用することもできます。
データ内のフィールドをルックアップファイルのフィールドにマッピングします。たとえば、src_ipのフィールドエイリアスを使用して、
IPアドレスの位置情報を含むルックアップファイル内のip_address。フィールドエイリアス名は
元のフィールド名を置き換えるのではなく、別の名前でフィールドのコピーを作成します。フィールドエイリアス名
検索の一部として使用される場合、大文字と小文字が区別されます。つまり、src_ip と SRC_IP は異なるフィールドです。