タグに関する次の記述は正しいです: タグはフィールド/値のペアに基づいており、タグは検索に基づいてイベントを分類します。タグは、フィールドまたはフィールド値に適用して、データに追加のコンテキストや意味を提供できるカスタム ラベルです。タグを使用すると、共通の概念やテーマに基づいてデータをフィルター処理または分析できます。タグは、検索コマンド、構成ファイル、ユーザー インターフェイスなどのさまざまな方法で作成できます。タグの特徴は次のとおりです。
タグはフィールド/値のペアに基づいています。つまり、タグは特定のフィールド名と特定のフィールド値に関連付けられます。たとえば、フィールド名「status」とフィールド値「critical」に対して「alert」というタグを作成できます。つまり、status=critical のイベントにのみ「alert」タグが適用されます。
タグは検索に基づいてイベントを分類します。つまり、タグはタグ付けするイベントに一致する検索文字列によって定義されます。たとえば、検索文字列 sourcetype=access_combined に対して「web」というタグを作成できます。つまり、検索文字列 sourcetype=access_combined に一致するイベントにのみ「web」タグが適用されます。
タグに関する次の記述は誤りです。タグは大文字と小文字を区別せず、データをより理解しやすくするために設計されています。タグは大文字と小文字を区別し、データをより検索しやすくするために設計されています。タグは大文字と小文字を区別します。つまり、タグは、関連付けられているフィールド名とフィールド値の大文字と小文字を正確に一致させる必要があります。たとえば、フィールド名「status」とフィールド値「critical」に対して「alert」というタグを作成した場合、status=CRITICAL または Status=critical のイベントには適用されません。タグは、データをより検索しやすくするために設計されています。つまり、タグは、共通の概念やテーマを使用して、データ内の関連するイベントやパターンを見つけるのに役立ちます。たとえば、検索文字列 sourcetype=access_combined に対して「web」というタグを作成した場合、tag=web を使用して、Web アクティビティに関連するすべてのイベントを見つけることができます。

説明
前述のように、ワークフロー アクションには GET と POST の 2 種類があります1。両方の種類のワークフロー アクションは、ワークフロー アクションが構成されているイベント フィールド値をクリックすることで、検索結果から実行できます1。別の種類のワークフロー アクションは検索で、フィールド値に基づいて別の検索を実行します1。したがって、オプション A、B、および D は正しいですが、オプション C は LOOKUP がワークフロー アクションの種類ではないため、正しくありません。

Splunk でタグに関連付けられたイベントを見つけるための正しい構文は、tag=<値>1 です。したがって、正解は D です。
tag=<値>。この構文を使用すると、検索結果内の指定されたフィールドにタグ1 を注釈付けできます。
Splunkでは、タグは知識オブジェクトの一種であり、フィールド値に意味のあるエイリアスを追加するために使用できます。
たとえば、データにstatus_codeというフィールドがある場合、異なるステータスが
200、404、500などのステータスコード。200の場合はsuccess、404の場合はnot_foundなどのタグを作成できます。
そして、500のserver_errorを検索でtagコマンドを使用して、関連するイベントを見つけることができます。
これらのタグ1。
以下は、検索で tag コマンドを使用する方法の例です。
インデックス=メイン ソースタイプ=アクセス結合 | タグ ステータスコード
この検索で​​は、tagコマンドは検索結果のstatus_codeフィールドに、対応する
タグ。ステータスコード200にsuccess、ステータスコード404にnot_found、ステータスコード
コード 500 withserver_error の場合、検索結果にはこれらのタグ 1 が含まれます。
特定のタグ値を持つtagコマンドを使用して、そのタグに関連付けられたイベントを見つけることもできます。
たとえば、次の検索では、ステータス コードが success タグでタグ付けされているすべてのイベントが検索されます。
index=main sourcetype=access_combined | タグ status_code | 検索 tag::status_code=success
この検索で​​は、tagコマンドはstatus_codeフィールドに対応するタグを注釈し、
searchcommand は、status_code フィールドに success1 のタグが付けられたイベントのみが含まれるように結果をフィルタリングします。

Splunkでは、検索ウィンドウから適切な検索を実行することでイベントタイプを作成できます。
イベントタイプを選択し、「名前を付けて保存」をクリックしてイベントタイプ1を選択します。これにより、「イベントタイプとして保存」ダイアログが開きます。
イベント タイプ名を指定し、オプションでタグを適用できます1。
また、eventtypes.confファイルを編集して新しいスタンザ1を追加することでイベントタイプを作成することもできます。
eventtypes.confファイルはイベントタイプ1を表します。スタンザ名はイベントタイプの名前であり、
search 属性は、イベント タイプを定義する検索文字列を指定します1。
重要な点として、eventtypeコマンドを使用して検索すると、
特定のイベントタイプの場合、SPLに| eventtypeを追加して検索を実行しても新しいイベントは作成されません。
同様に、イベントの詳細ドロップダウンで「イベントアクション」>「イベントタイプを作成」をクリックしても、
新しいイベントタイプ1。

フィールド エイリアス、フィールド抽出、およびルックアップを組み合わせて、これらの各フィールドのデータを正規化します。
https://docs.splunk.com/Documentation/CIM/4.15.0/User/UsetheCIM tonormalized data at searchtime