参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Setupasearchworkflowaction ワークフロー アクションは、検索結果のイベント フィールド値をクリックしたときに表示されるリンクです。ワークフロー アクションは、Web ページを開いたり、フィールド値に基づいて別の検索を実行したりできます。ワークフロー アクションには、GET と POST の 2 種類があります。GET ワークフロー アクションは、フィールド値を URI の末尾に追加し、Web ブラウザーで開きます。POST ワークフロー アクションは、HTTP リクエストの一部としてフィールド値を Web サーバーに送信します。検索ワークフロー アクションは、フィールド値に基づいて別の検索を実行する GET ワークフロー アクションの一種ですが、必須フィールドは検索文字列のみです。検索文字列は、ワークフロー アクションがクリックされたときに実行される検索を定義します。したがって、オプション A は正しく、オプション B、C、D は検索ワークフロー アクションを作成するための必須フィールドではないため、誤りです。

参考資料：https://docs.splunk.com/Documentation/SplunkCloud/8.0.2003/Knowledge/Defineeventtypes

Splunk では、chart コマンドを使用する際に、useother パラメーターを false (f) に設定することで、
「その他」カテゴリは、Splunkがカーディナリティの低いグループを単一のグループに集約して視覚化を簡素化するために使用するバケットです。オプションの内訳は次のとおりです。
A). | アクション別の CurrentStanding のチャートカウント useother=fこのコマンドは、useother パラメーターを正しく false に設定し、結果として得られるビジュアライゼーションに「OTHER」カテゴリが表示されないようにします。
B). | アクション別の CurrentStanding のチャートカウント usenull=f useother=tこのコマンドでは useother が true (t) に設定されているため、「OTHER」カテゴリがまだ含まれてしまい、これは正しいオプションではありません。
C). | アクションによる CurrentStanding のチャート数 limit=10 useother=f オプション A と同様に、このコマンドも useother を false に設定し、さらに上位 10 件の結果に制限を課します。これは、チャートの粒度を制御する方法であると同時に、「その他」カテゴリを削除する方法でもあります。
D). | チャートの現在の状況とアクションの制限-10 このコマンドには構文エラーがあります (limit-10 は limit=10 であるべきです)。また、useother=f 句が含まれていません。そのため、「OTHER」カテゴリが削除されず、正しくありません。
「OTHER」カテゴリを削除するように構文を書き換える正しい答えは、useother=fを明示的に設定するオプションAとCです。

タグを作成するには、ユーザーは自身のユーザーロールに関連付けられたタグ作成権限を持っている必要があります。タグ作成権限があれば、ユーザーはタグの作成、編集、削除を行うことができます。ユーザーは、フィールドと値のペアを特定したり、Powerロールを持っていたり、タグが適用されるソースタイプを編集したりする必要はありません。
参照
Splunkドキュメントの「設定」でタグを定義および管理する方法、および「機能について」を参照してください。

以下の検索では、イベントを 2 つ以上のフィールド (clientip と host) でグループ化し、開始と終了のトランザクションを作成します。
終了制約（最大スパン=30秒、最大一時停止=5秒）を設定し、各トランザクションの所要時間を計算します。
インデックス=メイン | トランザクション クライアントIP ホスト 最大スパン=30秒 最大一時停止=5秒
検索では以下の処理が行われます。
これは、Splunk のデフォルト インデックスである main インデックスによってイベントをフィルタリングします。このインデックスには、すべてのデータが含まれています。
他のインデックスに送信されます。
これはトランザクションコマンドを使用して、クライアントIPとホストという2つのフィールドに基づいてイベントをトランザクションにグループ化します。
トランザクションコマンドは、同じクライアントIPとホストを共有するイベントのグループから新しいイベントを作成します。
価値観。
maxspanとmaxpauseを使用して、トランザクションの開始制約と終了制約を指定します。
引数。maxspan 引数は、最初のイベントと最後のイベント間の最大時間間隔を設定します。
トランザクション。maxpause引数は、連続する2つのイベント間の最大時間間隔を設定します。
トランザクション内。この場合、maxspan は 30 秒、maxpause は 5 秒なので、
処理時間や一時停止時間が長いトランザクションは、複数のトランザクションに分割されます。
これにより、各トランザクションに対して、期間、イベント数、開始時刻などの追加フィールドが作成されます。
期間フィールドは、トランザクションにおける最初と最後のイベント間の時間間隔を示します。