説明/参照: https://docs.splunk.com/Documentation/CIM/4.15.0/User/Overview

検索ワークフロー アクションを元の検索と同じ時間範囲で実行するように構成するには、[フィールド リストを作成した検索と同じ時間範囲を使用する] チェック ボックスをオンにする必要があります。これにより、ワークフロー アクション検索で元の検索と同じ最も早い時間パラメータと最も遅い時間パラメータが使用されるようになります。

説明
正解はD.evalです。
計算フィールドは、eval 式を使用して検索時にイベントに追加されるフィールドです。計算フィールドは、イベントにすでに存在する 2 つ以上のフィールドの値を使用して計算を実行できます。計算フィールドは、Splunk Web または props.conf ファイルで定義できます。他の抽出フィールドと同様に、検索、レポート、ダッシュボード、データ モデルで使用できます1。
計算フィールドは、eval コマンドを使用して反復的、長い、または複雑な変換を実行するためのショートカットです。eval コマンドは、式を使用してフィールドを作成または変更するために使用されます。eval コマンドは、フィールドまたは値に対して数学、文字列、日付と時刻、比較、論理、およびその他の操作を実行できます2。
たとえば、price と tax という 2 つのフィールドの合計である total という新しいフィールドを作成する場合は、次のように eval コマンドを使用できます。
| 評価合計=価格+税
ただし、この新しいフィールドを複数の検索、レポート、またはダッシュボードで使用する場合は、毎回 eval コマンドを記述する代わりに、計算フィールドを作成できます。Splunk Web で計算フィールドを作成するには、[設定] > [フィールド] > [計算フィールド] に移動し、新しいフィールドの名前 (total)、ソースタイプの名前 (sales)、および eval 式 (price+tax) を入力する必要があります。これにより、検索時にソースタイプが sales であるすべてのイベントに追加される total という名前の計算フィールドが作成されます。その後、eval 式を記述せずに、他の抽出フィールドと同様に total フィールドを使用できます1。
その他のオプションは計算フィールドに関連していないため、正しくありません。これらのオプションは次のとおりです。
A: トランザクション: このコマンドは、共通の値を共有するイベントを、トランザクションと呼ばれる単一のレコードにグループ化するために使用されます。トランザクションは複数のイベントと複数のソースにまたがることができ、関連しているが連続していないイベントを相関させるのに役立ちます3。
B: lookup: このコマンドは、CSV ファイルやデータベースなどの外部ソースからの追加フィールドを使用してイベントを充実させるために使用されます。 lookup は、ホスト、ソース、ソースタイプ、またはその他の抽出されたフィールドなどの既存のフィールドの値に基づいて、イベントにフィールドを追加できます。
C: stats: このコマンドは、検索結果のフィールドの集計統計 (カウント、合計、平均など) を計算するために使用されます。1 つ以上のフィールドでデータをグループ化および集計するために使用できます。
参考文献:
計算フィールドについて
eval コマンドの概要
トランザクションコマンドの概要
[lookup コマンドの概要]
[統計コマンドの概要]

正解はAです。ログファイルに同じ文字で区切られた値がある場合、たとえば、
カンマ。
フィールド抽出（FX）はSplunk Webのユーティリティで、イベントから新しいフィールドを作成することができます。
正規表現または区切り文字を使用して、FXはグラフィカルインターフェイスで操作をガイドします。
フィールド抽出の定義とテストの手順1。
FXは、正規表現と区切りの2つのフィールド抽出方法をサポートしています。正規表現
この方法は、ログやメッセージなど、一貫した形式を持たない非構造化イベントデータに最適です。
または構造。サンプルイベントを選択し、そのイベントから抽出する1つ以上のフィールドを強調表示すると、FX
データ セット内の類似イベントに一致する正規表現を生成し、そこからフィールドを抽出します1。
区切り方式は、構造化されたイベントデータ用に設計されています。ヘッダー付きのファイルからのデータで、すべてのフィールドが
イベントは、コンマ、タブ、スペースなどの共通の区切り文字で区切られます。サンプルを選択します
イベントを検出し、区切り文字を識別して、FX が検出したフィールドの名前を変更します1。
したがって、ログファイルに次の値が含まれている場合は、区切りフィールド抽出方法を選択します。
同じ文字（例えばカンマ）で区切られています。この方法を使えば、
複雑な正規表現を記述せずに、区切り文字に基づいてフィールドを分類します。
その他のオプションは、区切りフィールド抽出方法には適していないため、正しくありません。
オプションは次のとおりです:
B: ログファイルに空行やコメントが含まれている場合: このオプションは、ログファイルに
構造化されたフォーマットや共通の区切り文字。区切り方法は、このタイプの
一部のフィールドが欠落したり、不要な値が含まれていたりする可能性があるためです。
C:JSONやXMLなどの構造化ファイルの場合:このオプションでは区切り方式は必要ありません。
Splunkは、インデックス抽出または
検索時の抽出2. 区切り方法は、このタイプのデータではうまく機能しない可能性があります。
ネストされた構造や特殊文字を認識しません。
D: ファイルに構造やフォーマットに関する情報を提供するヘッダーがある場合: このオプションは
ファイルのフィールド間に共通の区切り文字があることを示すものではありません。区切り方式では
このタイプのデータではうまく機能しない可能性があります。ヘッダーに基づいてフィールドを識別できない可能性があるためです。
情報。
参考文献:
フィールド抽出ツールでフィールド抽出を構築する
インデックスフィールド抽出を構成する