データモデルとピボットはどちらもSplunkの知識オブジェクトであり、さまざまな方法でデータを分析および視覚化できます。データモデルは、データを構造化され階層化された方法で表現するデータセットの集合です。データモデルは、データがオブジェクトとフィールドにどのように整理されるかを定義します。ピボットは、データモデルのさまざまな側面を表示するデータ視覚化を作成できるユーザーインターフェイスです。ピボットでは、ユーザーがデータモデルに対してSPL検索を入力する必要はなく、メニューやフォームからオプションを選択できます。データモデルはピボットと呼ばれるデータセットから作成されるのではなく、ピボットはデータモデル内のデータセットから作成されます。

Splunk Common Information Model (CIM) アドオンを使用してデータを正規化する場合の推奨アプローチは、A. CIM データ モデル参照テーブルを参照することです。これは、CIM データ モデル参照テーブルに、データ モデル内の各データセットで想定されるフィールドとタグに関する詳細情報が記載されているためです。参照テーブルを参照することで、データ ソースに関連するデータ モデルと、データ フィールドを CIM フィールドにマッピングする方法を判断できます。また、参照テーブルを使用してデータを検証し、正規化に関する問題のトラブルシューティングを行うこともできます。CIM データ モデル参照テーブルは、Splunk ドキュメント 1 または Splunk Web のデータ モデル エディター ページ 2 にあります。その他のオプションは、CIM アドオンやデータ正規化とは関係がないため、正しくありません。認証コマンドは、イベントを認証データ モデルに対して検証するカスタム コマンドですが、他のタイプのデータの正規化には役立ちません。相関コマンドは、イベント フィールドに対して統計分析を実行する検索コマンドですが、データ フィールドを CIM フィールドにマッピングするのには役立ちません。 CIMイベントタイプ参照テーブルは存在しません。イベントタイプはCIMアドオンの一部ではないためです。