説明
タグに関連付けられたイベントを検索するための正しい構文は、A. tag:<field>=<value> です。
タグとは、フィールド値に基づいてイベントに説明的なキーワードを追加する方法です。タグを使用すると、ソースタイプ、ホスト、重要度、カテゴリなどの共通の特性に基づいてイベントをフィルタリングしたりグループ化したりできます。
特定のタグが付いたイベントを検索するには、タグフィールドの名前とタグの値を引数として指定する必要があります。構文は次のとおりです。
タグ:<フィールド>=<値>
例えば、ステータスフィールドに「error」というタグが付いているイベントを検索したい場合は、次の構文を使用できます。
タグ:status=error
これにより、ステータスフィールドの値が「error」とタグ付けされているイベントのみが返されます。
他の選択肢は、異なる構文やタグとは関係のないフィールドを使用しているため、正しくありません。これらの選択肢は以下のとおりです。
B: tags=<value>: このオプションは、イベントに関連付けられたすべてのタグを含むマルチバリューフィールドである tags フィールドを使用します。ただし、このフィールドはデフォルトでは検索できず、有効にするには追加の設定が必要です1。
C: tags:<field>=<value>: このオプションでは、タグフィールドに等号の代わりにコロンを使用しますが、これはフィールドで検索するための有効な構文ではありません。
D: tag=<value>: このオプションは、フィールド名を指定せずにタグフィールドを使用しますが、これはタグを使用した検索の有効な構文ではありません。
参考文献：
タグについて
タグで検索

検索モードは、Splunkが検索を処理し、結果を表示する方法を決定します2。3つのモードがあります。
検索モード: 高速、スマート、詳細2。抽出されたすべてのフィールドを自動的に返す検索モード。
フィールドサイドバーはVerbose2です。Verboseモードでは、イベントから抽出されたすべてのフィールドが表示されます。
デフォルトフィールド、インデックス付きフィールド、検索時に抽出されたフィールド2を含むフィールドサイドバーは、
検索結果に含まれるフィールドを表示します。したがって、オプションCが正解ですが、オプションAとBは
これらは、フィールド内のすべての抽出フィールドを自動的に返す検索モードではないため、誤りです。
サイドバー。

参考資料：https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Definesearchmacros
マクロは、検索語、コマンド、検索の任意の部分を含むことができる再利用可能な検索文字列です。
引数など。マクロは、マクロが実行されるときに指定できる柔軟な時間範囲を持つことができます。
マクロには、実行時にマクロに渡せる引数を持たせることもできます。マクロは次のように作成できます。
設定メニューを使用するか、macros.conf ファイルを編集します。マクロには完全な検索を含める必要はありません。
ただし、再利用する必要のある部分のみです。マクロは固定の時間範囲を持つ必要はありませんが、
相対または絶対時間範囲修飾子。マクロには検索の一部だけを含める必要はなく、
検索には複数の部分が含まれます。

参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/SearchReference/Transaction

説明
https://docs.splunk.com/Documentation/Splunk/8.1.1/SearchReference/ConditionalFunctions