正解は D です。props.conf と transforms.conf の両方をソース A の Heavy Forwarder に配置し、props.conf と transforms.conf の両方をソース B の indexer に配置します。
Splunkのドキュメント1によると、生のイベントから機密データをマスクするには、props.confファイルのSEDCMD属性とtransforms.confファイルのREGEX属性を使用する必要があります。SEDCMD属性は、インデックス作成前に生データにsed式を適用し、REGEX属性はマスクするデータに一致する正規表現を定義します。これらのファイルは、データを解析するSplunkインスタンス（通常はインデクサーまたはヘビーフォワーダー2）に配置する必要があります。ユニバーサルフォワーダーはデータを解析しないため、これらのファイルは必要ありません。
ソースAの場合、データはヘビーフォワーダーを経由してルーティングされます。ヘビーフォワーダーはデータをインデクサーに送信する前に解析できます。そのため、インデックス作成前にマスキングが行われるように、props.confとtransforms.confの両方をソースAのヘビーフォワーダーに配置する必要があります。
ソースBの場合、データは直接インデクサーにルーティングされ、そこでデータの解析とインデックス作成が行われます。そのため、インデックス作成前にマスキングが行われるように、props.confとtransforms.confの両方をソースBのインデクサーに配置する必要があります。
参考資料:1:イベントからデータを編集する - Splunk ドキュメント2:Splunk の設定はどこで行いますか? - Splunk ドキュメント

提供されているDUO/SplunkリファレンスURL https://duo.com/docs/splunk を使用して、ネットワークダイアグラムセクションまでスクロールし、次の6つの同様の手順に注意してください。
1 - SPlunk接続が開始されました
2 - プライマリ認証
3 - TCPポート443経由でDuo SecurityへのSplunk接続が確立されました
4 - Duo Securityのサービスによる二次認証
5 - Splunkが認証応答を受信する
6 - Splunk セッションにログインしました。

説明/参照: https://docs.splunk.com/Documentation/Forwarder/7.3.1/Forwarder/Configuretheuniversalforwarder