参考:https://answers.splunk.com/answers/574643/field-showing-an-additional-and-not-visible-value-1.
html
検索でマクロを使用するには、マクロ名と引数を一重引用符で囲む必要があります1。
たとえば、「my_macro(arg1,arg2)」は、2 つの引数を持つマクロを使用する有効な方法です。検索文字列内の、通常検索コマンドまたは式 1 を使用する場所であればどこでもマクロを使用できます。したがって、オプション A と C はマクロを使用する有効な検索ですが、オプション B と D はマクロを一重引用符で囲んでいないため無効です。

rexコマンドを使用すると、正規表現を使用してイベントからフィールドを抽出できます。rex
イベント内のポート番号に一致する名前付きグループを指定するコマンド。例:
rex "\+\+\+\+port (?<port>\d+)"
これにより、イベントの値 54 を持つ port というフィールドが作成されます。
フィールド間に一貫した区切り文字がないため、区切り文字方式はこのイベントには適していません。
正規表現方式は、フィールド抽出ツールでは有効なオプションではありません。フィールド抽出ツールは
正規表現を抽出しますが、それ自体はメソッドではありません。
参考: Splunk Core 認定パワーユーザー 1 名 | Splunk

説明
検索文字列で検索マクロを使用するには、マクロ名の前後にバックティック文字 (`) を配置する必要があります1。また、マクロで定義されているのと同じ数の引数を使用する必要があります2。マクロの週次売上 (2) には、Price と AmountSold という 2 つの引数があります。したがって、マクロを呼び出すときに、これらの引数に 2 つの値を指定する必要があります。
オプション A は、マクロ名を囲むバックティックではなく括弧を使用しているため、正しくありません。オプション B は、マクロ名にスペースではなくアンダースコアを使用しているため、正しくありません。オプション D は、引数値を区切るのにコンマではなくスペースを使用しているため、正しくありません。
参考: 1 検索での検索マクロの使用 - Splunk ドキュメント 2 設定で検索マクロを定義する - Splunk ドキュメント

ワークフローアクションは、検索結果1のイベントフィールド値をクリックしたときに表示されるリンクです。
ワークフローアクションは、フィールド値1に基づいてWebページを開いたり、別の検索を実行したりできます。
ワークフローアクション: GETとPOST1。GETワークフローアクションは、フィールド値をURIの末尾に追加し、
ウェブブラウザで開きます1。POSTワークフローアクションは、フィールド値をHTTPリクエストの一部として送信します。
ウェブサーバー1。ワークフローアクションを設定して、同じウィンドウまたは新しいウィンドウでウェブページを開くことができます。
したがって、オプション D は正解ですが、オプション A、B、C は不正解です。

説明/参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/definecalcfields