説明
トランザクション コマンドを使用すると、複数のソースにわたるイベントを関連付けることができます。トランザクション コマンドは、フィールド、時間、またはその両方といった共通の特性に基づいてイベントをトランザクションにグループ化できる検索コマンドです。トランザクションとは、互いに関連付けられる 1 つ以上のフィールドを共有するイベントのグループです。トランザクションは、データの形式や構造が異なる複数のソースまたはソースタイプにまたがることができます。トランザクション コマンドは、共通のフィールドをグループ化の基準として使用することで、複数のソースにわたるイベントを関連付けるのに役立ちます。また、トランザクション コマンドは、期間、イベント数、開始時刻など、各トランザクションに追加のフィールドを作成することもできます。

説明/参考資料: https://docs.splunk.com/Splexicon:Datamodeldataset

参考資料：https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/SetupaGETworkflowaction

Splunkでタグに関連付けられたイベントを検索するための正しい構文は、tag=<value>1です。したがって、正解はDです。
tag=<value>。この構文を使用すると、検索結果の特定のフィールドにタグ1で注釈を付けることができます。
Splunkでは、タグはデータ内のフィールド値に意味のあるエイリアスを追加するために使用できる知識オブジェクトの一種です1。たとえば、データにstatus_codeというフィールドがある場合、200、404、500などのさまざまなステータスコードが存在する可能性があります。これらのステータスコードに対して、200にはsuccess、404にはnot_foundなどのタグを作成できます。
404 はエラー、500 は server_error です。その後、検索で tag コマンドを使用して、これらのタグに関連付けられたイベントを見つけることができます 1。
検索でタグコマンドを使用する方法の例を以下に示します。
インデックス=メイン ソースタイプ=アクセス結合 | タグ ステータスコード
この検索で​​は、tag コマンドによって検索結果の status_code フィールドに、対応するタグが注釈として付けられます。ステータス コード 200 に success、ステータス コード 404 に not_found、ステータス コード 500 に server_error のタグを付けている場合、検索結果にはこれらのタグが含まれます 1。
タグコマンドに特定のタグ値を指定することで、そのタグに関連付けられたイベントを検索することもできます。たとえば、次の検索では、ステータスコードが「成功」とタグ付けされているすべてのイベントが検索されます。
index=main sourcetype=access_combined | tag status_code | search tag::status_code=success この検索で​​は、tag コマンドが status_code フィールドに該当するタグを注釈として追加し、search コマンドが、status_code フィールドに success1 のタグが付いているイベントのみが含まれるように結果をフィルタリングします。