正解はB. ルートイベントデータセットです。これは、ルートイベントデータセットが制約によって定義されるためです。
データセットに関連しないイベントを除外します。ルートイベントデータセットの制約は、次のような単純な検索です。
かなり広範囲のデータを返します（sourcetype=access_combinedなど）。制約がない場合、ルートイベントは
データセットにはインデックス内のすべてのイベントが含まれるため、データモデリングには役立ちません。詳細については、
Splunkのドキュメント1からデータモデルの設計方法とルートイベントデータセットの追加方法について学びます。
ルートトランザクションデータセットとルート検索データセットでは定義方法が異なるため、オプションは正しくありません。
トランザクション定義や複雑な検索などのデータセットやルート子データセットは有効なタイプではありません
ルート データセットの。