以下の検索文字列は、ユーザーごとに分類されたミステリーミートコーンドッグの総数を表にまとめます。
| ユーザー別統計カウント | corndog=mysterymeat
検索文字列は以下の処理を行います。
この機能では、statsコマンドを使用して、userフィールドの各値に対応するイベント数を計算します。statsコマンドは、userとcountの2つの列を持つテーブルを作成します。
これは、whereコマンドを使用して、corndogフィールドの値に基づいて結果をフィルタリングします。whereコマンドは、corndogがmysterymeatと等しい行のみを残します。
したがって、検索文字列は、ユーザーごとに分類されたミステリーミートコーンドッグの総数を表にまとめます。

正解はDです。検索。
ワークフローアクションは、イベント内のフィールドと他のWebリソースとの間でさまざまな相互作用を可能にする知識オブジェクトです。ワークフローアクションは、HTMLリンクを作成したり、HTTP POSTリクエストを生成したり、フィールド値に基づいて二次検索を開始したりできます1。
Splunk Webを使用して設定できるワークフローアクションには、GET、POST、Search2の3種類があります。
GETワークフローアクションは、特定の値に対してGoogle検索を実行したり、外部WHOISデータベースに対してドメイン名クエリを実行したりするなどの操作を行うための一般的なHTMLリンクを作成します2。
POSTワークフローアクションは、指定されたURIに対してHTTP POSTリクエストを生成します。このアクションタイプを使用すると、関連するフィールド値のセットを使用して外部課題管理システムにエントリを作成するなどの操作を実行できます2。
検索ワークフローアクションは、イベントの特定のフィールド値を使用する二次検索を起動します。たとえば、特定の期間にわたってインデックス内のipaddressとhttp_statusフィールド値の特定の組み合わせの出現を検索する検索などです2。
したがって、二次検索を実行するワークフローアクションの種類は「検索」です。
参照：
スプレキシコン:ワークフローアクション
Splunk Webにおけるワークフローアクションについて

正解はCです。フィールドAの値がフィールドBの値と等しいイベント。
whereコマンドは、真または偽と評価される式に基づいて検索結果を絞り込むために使用されます。
where コマンドは、2 つのフィールド、2 つの値、またはフィールドと値を比較できます。where コマンドは、関数、演算子、ワイルドカードを使用して複雑な式を作成することもできます 1。
whereコマンドの構文は次のとおりです。
| 式>
式は、比較、計算、論理演算、またはこれらの組み合わせのいずれかです。式は、各イベントに対して真または偽のいずれかに評価される必要があります。
whereコマンドで2つのフィールドを比較するには、フィールド名を引用符なしで指定する必要があります。たとえば、フィールドAの値がフィールドBの値と一致するイベントを検索する場合は、次の構文を使用できます。
| ただしA=B
これにより、2つのフィールドの値が同じイベントのみが返されます。
他の選択肢は、異なる構文やwhereコマンドとは関係のないフィールドを使用しているため、正しくありません。これらの選択肢は以下のとおりです。
* A. 文字列値「where A=B」を含むイベント: このオプションは、検索語として文字列値「where A=B」を使用しますが、これは where コマンドの有効な構文ではありません。このオプションは、テキスト「where A=B」がそのまま含まれるイベントを返します。
* B. 文字列値 A=B を含むイベント: このオプションは、文字列値 A=B を検索語として使用しますが、これは where コマンドの有効な構文ではありません。このオプションは、リテラルテキスト "A=B" を含むイベントを返します。
* D. フィールド A に文字列値 B が含まれるイベント: このオプションでは、値 B を引用符で囲みますが、これは where コマンドでフィールドを比較するための有効な構文ではありません。引用符は、検索でフレーズまたは完全一致を囲むために使用されます。このオプションでは、フィールド A に文字列値 "B" が含まれるイベントが返されます。
参考文献：
* コマンドの使用箇所
* 検索コマンド早見表