Imagens OCI Minimalistas no Ubuntu: Reduzindo Bloat e Melhorando a Visibilidade de Segurança para Sysadmins

Introdução

No universo corporativo, Independent Software Vendors (ISVs) enfrentam um dilema clássico ao entregar aplicações containerizadas: equilibrar o tamanho da imagem com a visibilidade completa das vulnerabilidades. Imagens inchadas aumentam o tempo de download, ocupam mais espaço em discos de produção e introduzem bibliotecas desnecessárias que geram ruído de CVE (Common Vulnerabilities and Exposures). Por outro lado, imagens excessivamente enxutas podem ocultar componentes críticos, criando pontos cegos nos scanners de segurança. A recente iniciativa do Ubuntu – "Cut bloat, not features" – traz ao ecossistema OCI (Open Container Initiative) um conjunto de ferramentas e fluxos de trabalho que permitem gerar imagens minimalistas sem sacrificar a rastreabilidade de vulnerabilidades. Este artigo detalha a novidade, demonstra seu impacto prático em VPS, nuvens públicas e privadas, e fornece um guia passo‑a‑passo para a adoção segura em ambientes Docker e LXD.

O que há de novo no Ubuntu?

A Canonical lançou o **ubuntu‑oci‑image‑minimizer**, um utilitário que analisa a camada de dependências de uma imagem base Ubuntu (por exemplo, `ubuntu:22.04`) e elimina pacotes que não são necessários para a execução da aplicação alvo. O processo inclui:
1. **Análise estática de dependências** usando o `apt‑depends` e o `dpkg‑query` para mapear bibliotecas vinculadas ao binário principal.
2. **Construção de uma lista de exclusão** baseada em heurísticas de uso real (por exemplo, remover `man`, `doc`, `locale` que não são consumidos em produção).
3. **Re‑empacotamento da imagem** em formato OCI, preservando metadados de segurança (SBOM – Software Bill of Materials) que são consumidos por scanners como Trivy, Clair ou Anchore.

Além do utilitário, o Ubuntu 24.04 LTS traz **suporte nativo ao Skopeo** para inspeção de camadas OCI e **integração com o Ubuntu Pro** que garante atualizações de segurança de longo prazo (ESM) para pacotes que permanecem na imagem mínima.

Impacto prático para Sysadmins

*Redução de tamanho:* Imagens que antes tinham ~250 MB podem cair para ~120 MB, diminuindo o tempo de pull em ~50 % e reduzindo custos de armazenamento em nuvem.
*Visibilidade de vulnerabilidades:* O SBOM embutido permite que scanners identifiquem exatamente quais pacotes estão presentes, eliminando falsos positivos de bibliotecas ausentes.
*Consistência entre Docker e LXD:* O mesmo artefato OCI pode ser usado tanto em containers Docker quanto em máquinas LXD, simplificando pipelines CI/CD.
*Segurança do Kernel:* Como o kernel da imagem base permanece o mesmo (Linux 6.5 LTS), as atualizações de segurança são entregues via `apt-get upgrade` dentro do container, sem necessidade de recompilar a imagem.

Como gerar uma imagem OCI minimalista

1. **Instale o minimizer**
```bash
sudo apt update && sudo apt install ubuntu-oci-image-minimizer
```
2. **Crie a imagem base** (exemplo com Node.js):
```bash
docker pull ubuntu:22.04
docker run --name builder -it ubuntu:22.04 bash
apt-get update && apt-get install -y nodejs npm
exit
docker commit builder myapp-base:latest
```
3. **Execute o minimizer** apontando para a camada que contém a aplicação:
```bash
ubuntu-oci-image-minimizer \\
  --source myapp-base:latest \\
  --entrypoint "/usr/bin/node" \\
  --output myapp-min:oci \\
  --keep-packages "ca-certificates,libc6,libstdc++6"
```
   *`--keep-packages`* garante que bibliotecas essenciais para a execução do binário não sejam removidas.
4. **Valide o SBOM** usando o Syft (da Anchore):
```bash
syft myapp-min:oci -o json > sbom.json
```
   O arquivo `sbom.json` pode ser ingerido por ferramentas de CI para gerar relatórios de CVE.
5. **Teste a imagem** em Docker e LXD:
```bash
# Docker
docker run --rm myapp-min:oci node -v
# LXD
lxc launch ubuntu:22.04 test-container
lxc config device add test-container myapp disk source=$(docker inspect --format='{{.GraphDriver.Data.MergedDir}}' myapp-min:oci) path=/opt/app
lxc exec test-container -- /opt/app/node -v
```

Boas práticas de segurança pós‑deploy

- **Habilite a atualização automática dentro do container** usando `unattended-upgrades`:
```bash
apt-get install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades
```
- **Assine a imagem OCI** com o `cosign` para garantir integridade:
```bash
cosign sign --key cosign.key myapp-min:oci
```
- **Implemente políticas de escaneamento** no pipeline CI (Trivy):
```bash
trivy image --severity HIGH,CRITICAL myapp-min:oci
```
- **Monitore o consumo de recursos**; imagens menores reduzem a pressão de I/O, mas certifique‑se de que a camada de cache do Docker não recrie pacotes removidos.

Conclusão – Estabilidade em primeiro lugar

A estratégia de "cut bloat, not features" do Ubuntu entrega uma solução pragmática para ISVs e equipes de operações que buscam acelerar a entrega de software sem abrir mão da segurança. Ao gerar imagens OCI minimalistas, os sysadmins ganham em velocidade de deployment, economia de recursos e, sobretudo, em clareza de vulnerabilidades graças ao SBOM integrado. A compatibilidade nativa com Docker e LXD, aliada ao suporte de longo prazo do Ubuntu Pro, garante que a estabilidade dos ambientes de produção – sejam VPS, instâncias cloud ou servidores on‑premise – seja mantida. Implementar o minimizer agora permite criar um ciclo de vida de containers mais enxuto, auditável e pronto para enfrentar as exigências de compliance corporativo nos próximos anos.