説明
こんにちは、ビングです。Splunk Coreのパワーユーザー向けテクノロジーに関するご質問にお答えします。
正解はB.期間、D.トランザクションIDです。
説明は以下のとおりです。
transaction コマンドは、さまざまな制約を満たすイベントに基づいてトランザクションを検索する Splunk コマンドです 12。
トランザクションは、各メンバーの生テキスト（_rawフィールド）、最も古いメンバーの時間と日付フィールド、および各メンバーの他のすべてのフィールドの和集合で構成されます12。
トランザクションコマンドは、トランザクション123の一部である生イベントにいくつかのフィールドを追加します。これらのフィールドは次のとおりです。
期間: トランザクション内の最初と最後のイベントのタイムスタンプの差（秒単位）123。
eventcount: トランザクション内のイベント数123。
transaction_id: 各トランザクションの一意の識別子3。このフィールドは、トランザクションのフィルタリングや結合に役立ちます3。
したがって、トランザクションコマンドが生のイベントに追加するフィールドは、durationとtransaction_idであり、これらはご質問のオプションBとDに該当します。

正解はCです。マクロ名をバッククォート文字（`）で囲みます。
マクロは、SPLコードの一部を異なる検索で再利用する方法です。マクロは引数を取ることができ、引数はマクロが呼び出されたときに異なる値に置き換えることができる変数です。また、マクロは内部に別のマクロを含めることもでき、これをネストされたマクロと呼びます。
検索でマクロを参照するには、マクロ名をバッククォート（"）で囲む必要があります。たとえば、引数を1つ取る`my_macro`という名前のマクロがある場合、検索で参照するには、次の構文を使用します。
| my_macro(引数) | ...
これにより、マクロ名と引数がマクロ定義に含まれるSPLコードに置き換えられます。たとえば、マクロ定義が次のようになっている場合：
[my_macro(argument)] 検索ソースタイプ=$argument$
検索時に参照する場合は、次のように記述します。
index=main | my_macro(web) | stats count by host
これによりマクロが展開され、以下のSPLコードが実行されます。
index=main | search sourcetype=web | stats count by host
参考文献：
* 検索マクロを検索に使用する

参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Abouttransactions トランザクションは、フィールド、時間、またはその両方など、いくつかの共通の特性を共有するイベントのグループです。トランザクションは、transaction コマンドを使用するか、props.conf で transactiontype=true を指定してイベント タイプを定義することによって作成できます。トランザクション内のイベントには、それらを関連付ける 1 つ以上の共通フィールドがあります。たとえば、Web ログ内の各ユーザー セッションの一意の識別子である JSESSIONID に基づいてトランザクションを作成できます。トランザクション内のイベントは、同じタイムスタンプ、ソース タイプ、またはまったく同じフィールド セットを持つ必要はありません。トランザクションを定義する 1 つ以上のフィールドを共有しているだけで十分です。