検索ワークフローアクションを元の検索と同じ時間範囲で実行するように設定するには、
「フィールドリストを作成した検索と同じ時間範囲を使用する」チェックボックスを選択します。これにより、
ワークフロー アクション検索では、元の検索と同じ最早および最遅の時間パラメータが使用されます。

Splunk のピボットは、Splunk Search Processing Language (SPL)1 を使用せずに特定のデータ セットに関するレポートを作成できるツールです。ドラッグ アンド ドロップ インターフェイスを使用して、データのさまざまな側面を表、グラフ、その他の視覚化の形式で表示するピボットを設計および生成できます12。
Pivot の機能の 1 つは、レポートを保存できることです1。これは、レポートを再利用したり、他のユーザーと共有したりする場合に役立ちます1。したがって、ユーザーが Pivot で作成した視覚化を共有できない、または Pivot 内のイベントを見つけるために SPL を使用する必要があるというのは真実ではありません12。視覚化の作成は Pivot の主な機能の 1 つであるため、ユーザーが Pivot で視覚化を作成できないというのも真実ではありません12。

説明
正解は B です。イベント カテゴリ タグ。これは、CIM アドオンに、検索時にデータに適用できる事前構成済みのデータ モデルのコレクションが含まれているためです。CIM の各データ モデルは、対象ドメインの最小公分母を定義するフィールド名とタグのセットで構成されています。イベント カテゴリ タグは、イベントを認証、ネットワーク トラフィック、Web アクティビティなどの高レベル カテゴリに分類するために使用されます。これらのタグを使用して、カテゴリに基づいてイベントをフィルタリングおよび分析できます。イベント カテゴリ タグの詳細については、Splunk ドキュメント12 を参照してください。その他のオプションは、CIM アドオンに含まれていないため、正しくありません。検索マクロは、他の検索から呼び出すことができる再利用可能な検索構文です。一部の Splunk アプリでは独自の検索マクロが提供される場合がありますが、CIM アドオンに固有のものではありません。ワークフロー アクションは、特定のフィールドまたはイベントで実行できるカスタム リンクまたはスクリプトです。
これらは CIM アドオンに固有のものではありませんが、一部の Splunk アプリは独自のワークフロー アクションを提供する場合があります。tsidx ファイルは、Splunk バケット内の生データへの用語とポインターを保存するインデックス ファイルです。これらは Splunk のインデックス作成プロセスの一部であり、CIM アドオンとは関係ありません。

検索AとCはマクロの有効な使用法を示しています。マクロとは、SPLコードの再利用可能な部分であり、
マクロは引数を取ることができ、引数はマクロの後に括弧で囲んで渡される。
名前。たとえば、「makeMyField(oldField)」は、引数 oldField を使用して makeMyField という名前のマクロを呼び出します。
検索 B と D は、一重引用符 ('') ではなく二重引用符 ("") を使用しているため無効です。