説明/参考資料: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/FXSelectMethodstep

参照：
https://docs.splunk.com/Documentation/Splunk/8.0.3/Pivot/IntroductiontoPivot

説明
計算フィールドは、あらゆる種類のフィールド抽出とフィールドエイリアスを参照できますが、ルックアップ、イベントタイプ、またはタグを参照することはできません。

参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Definesearchmacros 以下のマクロ定義は、action と JSESSIONID という 2 つの引数に基づいてユーザー セッションを追跡するマクロを示しています。
セッショントラッカー(2)
マクロ定義は以下のことを行います。
これはマクロ名をsessiontrackerと指定しています。この名前は、検索文字列内でマクロを実行する際に使用されます。
これは、マクロの引数の数を2と指定しています。つまり、マクロは実行時に2つの引数を取るということです。
マクロのコードは、index=main sourcetype=access_combined_wcookie action=$action$ JSESSIONID=$JSESSIONID$ | stats count by JSESSIONID と指定されています。これは、マクロの実行時に実行される検索文字列です。検索文字列には、検索語、コマンド、引数など、検索のあらゆる部分を含めることができます。また、検索文字列には、引数をドル記号で囲んだ変数を含めることもできます。
この場合、actionとJSESSIONIDは引数の変数であり、マクロ実行時にそれぞれの値に置き換えられます。
したがって、マクロを正しく設定するには、名前とアクションにsessiontracker、引数にJSESSIONIDを入力する必要があります。または、名前にsessiontracker(2)を使用し、引数を空欄にすることもできます。