Imagens OCI Minimalistas no Ubuntu: Reduza a Bloat sem Perder Funcionalidades – Guia Prático para Sysadmins

Introdução

A entrega acelerada de software em ambientes corporativos tem exigido containers cada vez mais enxutos, sem sacrificar a visibilidade de segurança. A Canonical, responsável pelo Ubuntu, lançou recentemente a iniciativa *Cut bloat, not features*, que traz um conjunto de ferramentas e fluxos de trabalho para gerar imagens OCI (Open Container Initiative) mínimas, porém completas, focadas em reduzir o ruído de CVEs e eliminar pontos cegos dos scanners. Este artigo detalha a novidade, explora seu impacto em servidores de produção (VPS, Cloud), na segurança do kernel e na administração de containers Docker/LXD, e apresenta dicas práticas de configuração e comandos para que Sysadmins adotem a solução de forma estável e segura.

O que há de novo no Ubuntu?

A Canonical introduziu o **Ubuntu Minimal OCI Image Builder (U-MIB)**, integrado ao *snapcraft* e ao *cloud-image-builder*. As principais funcionalidades são:

* **Camadas de base ultra‑leves** – a imagem base contém apenas o runtime essencial (glibc, libssl, e componentes do systemd) e o *kernel* configurado com *UBPF* e *seccomp* padrão.
* **Metadados de segurança embutidos** – cada camada inclui um *SBOM* (Software Bill of Materials) gerado automaticamente, facilitando a correlação de vulnerabilidades.
* **Compatibilidade total com OCI** – as imagens são compatíveis com Docker, containerd, cri‑o, e LXD, permitindo uso híbrido.
* **Integração com o *Ubuntu Pro* e o *Canonical Livepatch*** – patches críticos são aplicados em tempo real, reduzindo a janela de exposição.

Esses recursos permitem que ISVs e equipes DevOps entreguem containers menores (tipicamente 30‑40 % menores que as imagens base padrão do Ubuntu) sem perder a rastreabilidade de vulnerabilidades.

Impacto prático para Sysadmins

1. Redução do tamanho das imagens e economia de banda

Em ambientes de VPS ou Cloud, cada megabyte economizado reduz custos de armazenamento e acelera o *pull* das imagens. Por exemplo, ao construir uma aplicação Node.js com U-MIB, a imagem final pode cair de ~250 MB (Ubuntu 22.04) para ~150 MB.

Comando de exemplo:

Código Selecionar Expandir

ubuntu-image build \\
  --release jammy \\
  --target minimal-oci \\
  --output myapp-minimal.oci

2. Visibilidade de vulnerabilidades aprimorada

As imagens geradas incluem um *SBOM* em formato SPDX, que pode ser consumido por scanners como *Trivy* ou *Clair*. Isso elimina o ruído de CVEs irrelevantes, pois apenas os pacotes presentes na camada mínima são avaliados.

Exemplo de scan integrado:

Código Selecionar Expandir

trivy image --format json --output sbom.json myapp-minimal.oci

A saída contém um relatório enxuto, facilitando a priorização de patches críticos.

3. Segurança do kernel e mitigação de exploits

U-MIB aplica, por padrão, as seguintes hardenings no kernel da imagem:

* **AppArmor** com perfis restritos para processos de usuário.
* **Seccomp** configurado para bloquear syscalls raramente usadas.
* **Kernel Livepatch** habilitado (via *ubuntu-advantage*) para aplicar correções críticas sem reinicialização.

Para habilitar o Livepatch em um container LXD:

Código Selecionar Expandir

lxc config set mycontainer security.nesting true
lxc exec mycontainer -- apt install -y canonical-livepatch
lxc exec mycontainer -- canonical-livepatch enable

4. Compatibilidade com Docker e LXD

A mesma imagem OCI pode ser utilizada tanto com Docker quanto com LXD, graças ao suporte nativo ao *image‑convert*.

Docker:

Código Selecionar Expandir

docker load -i myapp-minimal.oci
docker run --rm -p 8080:80 myapp-minimal

LXD:

Código Selecionar Expandir

lxc image import myapp-minimal.oci --alias myapp/minimal
lxc launch myapp/minimal mycontainer -c security.nesting=true

Isso simplifica a orquestração híbrida e reduz a necessidade de manter múltiplas imagens para diferentes runtimes.

5. Fluxo CI/CD recomendado

Integre o U-MIB ao pipeline GitHub Actions ou GitLab CI usando o *docker/build-push-action* com *buildx* e o plugin *ubuntu-image*.

Exemplo de workflow (GitHub Actions):

Código Selecionar Expandir

name: Build Minimal OCI Image
on: [push]
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Set up QEMU
        uses: docker/setup-qemu-action@v2
      - name: Set up Buildx
        uses: docker/setup-buildx-action@v2
      - name: Build Minimal Image
        run: |
          sudo snap install ubuntu-image --classic
          ubuntu-image build --release jammy --target minimal-oci --output app-minimal.oci
      - name: Push to Registry
        uses: docker/build-push-action@v4
        with:
          context: .
          push: true
          tags: ghcr.io/empresa/app-minimal:latest

Esse fluxo garante que cada build produza uma imagem mínima, já assinada e pronta para auditoria.

Conclusão – Estabilidade em Primeiro Lugar

A estratégia *Cut bloat, not features* da Canonical oferece aos Sysadmins uma forma comprovada de reduzir o tamanho das imagens OCI, melhorar a visibilidade de vulnerabilidades e aplicar hardenings de kernel de maneira automática. Ao adotar o Ubuntu Minimal OCI Image Builder, as equipes podem economizar recursos de rede e armazenamento, acelerar os ciclos de entrega e manter a conformidade de segurança sem introduzir instabilidade nos ambientes de produção. Como sempre, recomenda‑se validar as imagens em um ambiente de staging antes de promover para produção, monitorar logs de *Livepatch* e manter o *Ubuntu Pro* ativo para garantir que patches críticos sejam aplicados em tempo real. Dessa forma, a redução da bloat se traduz em uma infraestrutura mais enxuta, segura e, sobretudo, estável.