2021年06月 机器学习-第十一章 关联规则 黄海广 副教授 2 本章目录 01 关联规则概述 02 Apriori 算法 03 FP-Growth算法 3 1.关联规则概述 01 关联规则概述 02 Apriori 算法 03 FP-Growth算法 4 1.关联规则概述 关联规则 关联规则（Association Rules）反映一个事物与其他事物之间的相互依存 一个事物就能够通过其他事物预测到。 关联规则可以看作是一种IF-THEN关系。假设 商品A被客户购买，那么在相同的交易ID下， 商品B也被客户挑选的机会就被发现了。 5 1.关联规则概述 有没有发生过这样的事：你出去买东西， 结果却买了比你计划的多得多的东西？这 是一种被称为冲动购买的现象，大型零售 商利用机器学习和Apriori算法，让我们倾 向于购买更多的商品。 6 1.关联规则概述 购物车分析是大型超市用来揭示商品之间关联的关 的 顾客，向他们提供报价，以便他们购买第三种商品，比如鸡蛋。 因此，如果顾客买了面包和黄油，看到鸡蛋有折扣或优惠，他们就会倾向于 多花些钱买鸡蛋。这就是购物车分析的意义所在。 7 1.关联规则概述 置信度： 表示你购买了A商品后，你还会有 多大的概率购买B商品。 支持度： 指某个商品组合出现的次数与总次 数之间的比例，支持度越高表示该组合出现 的几率越大。 提升度： 提升度代表商品A的出现，对商品

管理警 管理警报 报 9.1. 在 ADMINISTRATOR 和 DEVELOPER 视角中访问 ALERTING UI 9.2. 搜索和过滤警报、静默和警报规则 9.3. 获取关于警报、静默和警报规则的信息 9.4. 管理警报规则 9.5. 管理静默 9.6. 将通知发送到外部系统 9.7. 应用自定义 ALERTMANAGER 配置 9.8. 后续步骤 第 第 10 章 章 查 查看 5 Prometheus Prometheus 是 OpenShift Container Platform 监控堆 栈所依据的监控系统。Prometheus 是一个时间序列数 据库和用于指标的规则评估引擎。Prometheus 将警报 发送到 Alertmanager 进行处理。 Prometheus Adapter Prometheus Adapter（上图中的 PA）负责转换 Kubernetes Alertmanager 进行处 理。 Thanos Ruler Thanos Ruler 是 Prometheus 的一个规则评估引擎， 作为一个独立的进程来部署。在 OpenShift Container Platform 4.10 中，Thanos Ruler 为监控用户定义的项 目提供规则和警报评估。 组 组件 件 描述 描述 注意 注意 在为用户定义的项目启用监控后，会部署上表中的组件。 监控堆栈中的所有组件都由堆栈监控，并在

出口防火墙在一个项目中的工作原理 13.3.1.1. 出口防火墙的限制 13.3.1.2. 出口防火墙策略规则的匹配顺序 13.3.1.3. 域名服务器 (DNS) 解析如何工作 13.3.2. EgressNetworkPolicy 自定义资源 (CR) 对象 13.3.2.1. EgressNetworkPolicy 规则 13.3.2.2. EgressNetworkPolicy CR 对象示例 13.3 1. 先决条件 13.14.2. 接合项目 13.14.3. 隔离项目 13.14.4. 对项目禁用网络隔离 13.15. 配置 KUBE-PROXY 13.15.1. 关于 iptables 规则同步 13.15.2. kube-proxy 配置参数 13.15.3. 修改 kube-proxy 配置 第 第 14 章 章 OVN-KUBERNETES 默 默认 认 CNI 网 网络 络供 为项目配置出口防火墙 14.4.1. 出口防火墙在一个项目中的工作原理 14.4.1.1. 出口防火墙的限制 14.4.1.2. 出口防火墙策略规则的匹配顺序 14.4.2. EgressFirewall 自定义资源（CR）对象 14.4.2.1. EgressFirewall 规则 14.4.2.2. EgressFirewall CR 对象示例 14.4.3. 创建出口防火墙策略对象 14.5. 查看项目的出口防火墙

对象的值在下表中定义： 表 表 4.6. kubeProxyConfig object 字段 字段 类 类型 型 描述 描述 iptablesSyncPeriod 字符串 字符串 iptables 规则的刷新周期。默认值为 30s。有效的后 缀包括 s、m 和 h，具体参见 Go 时间 时间 包 文档。 注意 注意 由于 OpenShift Container Platform 4.3 及更高版本中引进了性能改进， 及更高版本中引进了性能改进， 不再需要调整 iptablesSyncPeriod 参数。 proxyArguments.iptables- min-sync-period array 刷新 iptables 规则前的最短持续时间。此字段确保刷 新的频率不会过于频繁。有效的后缀包括 s、m 和 h，具体参见 Go time 软件包。默认值为： 4.5.2. Cluster Network Operator 范围创建一个组。 OPENSHIFT_HA_IPTABLES_CHA IN 输入 iptables 链的名称，用于自动添加允许 VRRP 流量的 iptables 规则。如果没有设置值，则不会添加 iptables 规则。如果链不存在，则不会创建它。 OPENSHIFT_HA_CHECK_SCRIP T 定期运行的脚本的 pod 文件系统中的完整路径名称， 以验证应用是否正在运行。

使用关联性和反关联性规则相对于其他 POD 放置 POD 3.3.1. 了解 pod 关联性 3.3.2. 配置 pod 关联性规则 3.3.3. 配置 pod 反关联性规则 3.3.4. pod 关联性和反关联性规则示例 3.3.4.1. Pod 关联性 3.3.4.2. Pod 反关联性 3.3.4.3. 无匹配标签的 Pod 反关联性 3.4. 使用节点关联性规则控制节点上的 POD POD 放置 3.4.1. 了解节点关联性 3.4.2. 配置节点关联性必要规则 3.4.3. 配置首选的节点关联性规则 3.4.4. 节点关联性规则示例 3.4.4.1. 具有匹配标签的节点关联性 3.4.4.2. 没有匹配标签的节点关联性 3.4.5. 其他资源 3.5. 将 POD 放置到过量使用的节点 3.5.1. 了解过量使用 3.5.2. 了解节点过量使用 3.6. 使用节点污点控制 OpenShift Container Platform 集群中的 pod。 使用 OpenShift Container Platform 中可用的高级调度功能控制 pod 调度： 节点对 pod 绑定规则，如 pod关联性、节点关联性 和反关联性。 节点标签和选择器。 污点和容限。 Pod 拓扑分布限制。 自定义调度程序. 将 descheduler 配置为根据特定策略驱除 pod，以便调度程序将

NODE FIREWALL OPERATOR 9.3. 部署 INGRESS NODE FIREWALL OPERATOR 9.4. 查看 INGRESS NODE FIREWALL OPERATOR 规则 9.5. 对 INGRESS NODE FIREWALL OPERATOR 进行故障排除 第 第 10 章 章 为 为手 手动 动 DNS MANAGEMENT 配置 配置 INGRESS CONTROLLER OPENSHIFT SDN 网络供应商 27.7. 从 KURYR 网络插件迁移到 OVN-KUBERNETES 网络插件 27.8. 转换为 IPV4/IPV6 双栈网络 27.9. 出口防火墙和网络策略规则的日志记录 27.10. 配置 IPSEC 加密 27.11. 为项目配置出口防火墙 27.12. 查看项目的出口防火墙 27.13. 为项目编辑出口防火墙 27.14. 从项目中删除出口防火墙 使用扩展的 Berkley Packet Filter (eBPF) 和 eXpress Data Path (XDP) 插件来处理节点防火墙规则，更新统计信息并为丢弃的流量生成事件。Operator 管理入口节点防火墙资 源，验证防火墙配置，不允许错误配置规则来防止集群访问，并将 ingress 节点防火墙 XDP 程序加载到规 则对象中的所选接口。如需更多信息，请参阅了解 Ingress Node

hosts 或 notHosts 字段给 出的确切字符串匹配。 如果您使用精确字符串比较的 AuthorizationPolicy 来确定 主机或非主机，则会影响您的集群。 您必须更新授权策略 规则，以使用前缀匹配而不是完全匹配。例如，在第一个 AuthorizationPolicy 示例 中，将 hosts: ["httpbin.com"] 替换为 hosts: ["httpbin.com:*"]。 的问题，则必须完成手动步骤。 1.2.2.23.1. CVE-2021-29492 和 CVE-2021-31920 所需的手动更新 Istio 包含一个可被远程利用的漏洞，当使用基于路径的授权规则时，带有多个斜杠或转义的斜杠字符 （%2F 或 %5C）的 HTTP 请求路径可能会绕过 Istio 授权策略。 例如，假设 Istio 集群管理员定义了一个授权 DENY 策略，以便在路径 /admin "nsenter": executable file not found in $PATH。容器镜像现在包含 nsenter，WASM 可 以正常工作。 MAISTRA-2534 当 istiod 试图为 JWT 规则中指定的签发者获取 JWKS 时，签发者服务会使用 502 响应。这导致代理容器就绪，并导致部署挂起。Service Mesh 2.0.7 版本中包括了对社区程 序漏洞的修复。 MAISTRA-2411

甚至流量图等功 能。Kiali 提供了从应用程序到服务以及负载等不同级别的组件的了解，并可显示与所选图形节点或边缘的 上下文信息和图表的交互。Kiali 还提供了验证 Istio 配置（如网关、目的规则、虚拟服务、网格策略等 等）的功能。Kiali 提供了详细的指标数据，并可使用基本的 Grafana 集成来进行高级查询。通过将 Jaeger 集成到 Kiali 控制台来提供分布式追踪。 默认情况下，Kiali 获取信息，如获取命名空间、服务、部署、pod 和其他实体的定 义。Kiali 还提供查询来解析不同集群实体之间的关系。另外，还可以通过查询集群 API 以获取 Istio 配置，比如虚拟服务、目的规则、路由规则、网关、配额等等。 Jaeger - Jaeger 是可选的，但会作为 Red Hat OpenShift Service Mesh 安装的一部分被默认安 装。当作为 Red Hat OpenShift istio-ingressgateway -o jsonpath='{.spec.host}') 4.3.3. 添加默认目的地规则 在使用 Bookinfo 应用程序前，您必须添加默认的目的地规则。根据您是否启用了 mutual TLS 验证，预先 配置两个 YAML 文件。 流程 流程 1. 要添加目的地规则，请运行以下命令之一： 如果没有启用 mutual TLS： 如果启用了 nutual TLS：

使用关联性和反关联性规则相对于其他 POD 放置 POD 3.4.1. 了解 pod 关联性 3.4.2. 配置 pod 关联性规则 3.4.3. 配置 pod 反关联性规则 3.4.4. pod 关联性和反关联性规则示例 3.4.4.1. Pod 关联性 3.4.4.2. Pod 反关联性 3.4.4.3. 无匹配标签的 Pod 反关联性 3.5. 使用节点关联性规则控制节点上的 POD POD 放置 3.5.1. 了解节点关联性 3.5.2. 配置节点关联性必要规则 3.5.3. 配置首选的节点关联性规则 3.5.4. 节点关联性规则示例 3.5.4.1. 具有匹配标签的节点关联性 3.5.4.2. 没有匹配标签的节点关联性 3.5.5. 其他资源 3.6. 将 POD 放置到过量使用的节点 3.6.1. 了解过量使用 3.6.2. 了解节点过量使用 3.7. 使用节点污点控制 OpenShift Container Platform 集群中管理 pod。 使用 OpenShift Container Platform 中可用的高级调度功能控制 pod 调度： 节点到 pod 的绑定规则，如 pod 关联性、节点关联性 和 反关联性。 节点标签和选择器。 污点和容限。 Pod 拓扑分布约束。 自定义调度程序。 配置 descheduler 以根据特定策略驱除 pod，以便调度程序将

效果与 NodeSelector 相同。您可以定义多条硬约束规则，但只需满⾜其中⼀条。 尽量满⾜，即软约束，不⼀定满⾜，对应 preferredDuringSchedulingIgnoredDuringExecution。 您可为软约束规则设定权重，具体调度时，若存在多个符合条件的节点，权重最⼤的节点会被优先 调度。您可定义多条软约束规则，但必须满⾜全部约束，才会进⾏调度。 约束条件（操作符）：包括 节点的标签来实现的。 选择器：单击选择器右侧的添加按钮，可添加多条硬约束规则。 尽量满⾜，即软约束，不⼀定满⾜，对应 preferredDuringSchedulingIgnoredDuringExecution。 Pod 的亲和性调度会尽量满⾜后续定义的约束条件。对于软约束规则，您可配置每条规则的权重， 其他配置规则与硬约束规则相同。 约束条件（操作符）：包括 In, NotIn, Exists ⼀个节点的独占访问权限来保证资源隔离，保证不会有其它 Pod 来分享节点资源。 把可能会相互影响的服务的 Pod 分散在不同的主机上。 说明：应⽤⾮亲和性调度的设置⽅式与亲和性调度相同，但相同的调度规则代表的意思不同，请按需进 ⾏选择。 设置调度容忍（Toleration）。与节点设置的污点（Taints）配套使⽤，且Pod的 Toleration声明中的key和effect需要与Taint的设置保持⼀致。详情参⻅节点管理，