Imagens OCI Minimalistas no Ubuntu: Reduzindo Bloat sem Perder Funcionalidades para ISVs

Introdução

No cenário atual de entrega contínua, ISVs (Independent Software Vendors) enfrentam o dilema clássico entre manter imagens de containers enxutas e garantir visibilidade total de vulnerabilidades. A recente iniciativa da Canonical, anunciada sob o título "Cut bloat, not features", traz ao Ubuntu um conjunto de ferramentas e fluxos de trabalho que permitem gerar imagens OCI (Open Container Initiative) extremamente compactas, sem sacrificar recursos essenciais nem a capacidade de auditoria de segurança. Este artigo explora, de forma prática e detalhada, como a novidade impacta servidores de produção – VPS, nuvem pública ou privada –, a segurança do kernel, e a administração de containers Docker e LXD.

O que há de novo no Ubuntu?

A Canonical introduziu três componentes chave:
1. **ubuntu-base-minimal** – um meta‑pacote que contém apenas o conjunto mínimo de bibliotecas do Ubuntu 24.04 LTS, compilado com suporte a *musl* e *glibc* slim.
2. **ubuntu-oci-builder** – um wrapper em Python que automatiza a criação de imagens OCI a partir de um *manifest* declarativo, aplicando técnicas de *layer squashing* e *multi‑stage builds*.
3. **ubuntu-pro‑scanner‑integration** – integração nativa com o serviço Ubuntu Pro, permitindo que scanners como Trivy, Grype ou Clair consumam metadados de CVE diretamente do repositório Ubuntu, reduzindo falsos positivos e "blind spots".

Essas ferramentas são distribuídas nos repositórios oficiais (`apt install ubuntu-base-minimal ubuntu-oci-builder`) e já estão disponíveis nas versões LTS (22.04, 24.04). Elas foram projetadas para funcionar tanto em pipelines CI/CD (GitHub Actions, GitLab CI) quanto em ambientes de desenvolvimento local.

Impacto prático para Sysadmins

* **Redução de tamanho de imagem** – As imagens geradas costumam ficar entre 30 MB e 70 MB, comparado aos 150 MB‑300 MB das imagens base padrão do Ubuntu. Isso diminui o tempo de pull em redes de alta latência e reduz custos de armazenamento em registries privados.
* **Visibilidade de vulnerabilidades** – Ao usar o `ubuntu-pro-scanner-integration`, os scanners recebem um *SBOM* (Software Bill of Materials) completo, permitindo a correlação automática com o banco de dados CVE da Canonical. O ruído de CVEs irrelevantes cai em até 80%.
* **Performance do kernel** – Imagens minimalistas carregam apenas módulos essenciais (`overlay`, `nf_conntrack`, `br_netfilter`). Isso reduz a superfície de ataque e melhora a latência de inicialização de containers.
* **Compatibilidade LXD** – O LXD aceita diretamente as imagens OCI geradas, facilitando a criação de máquinas virtuais leves em ambientes de edge computing.

Como gerar imagens OCI minimalistas

Segue um fluxo de trabalho típico que pode ser inserido em um pipeline GitHub Actions:

```bash
# 1. Instalar as ferramentas no runner Ubuntu
sudo apt update && sudo apt install -y ubuntu-base-minimal ubuntu-oci-builder

# 2. Criar um diretório de build
mkdir -p oci-build/app && cd oci-build

# 3. Definir o manifest (manifest.yaml)
cat > manifest.yaml <<'EOF'
base: "ubuntu:24.04-minimal"
packages:
  - ca-certificates
  - curl
  - libssl3
entrypoint: ["/usr/bin/myapp"]
EOF

# 4. Construir a imagem
ubuntu-oci-builder build manifest.yaml --output myapp.oci.tar

# 5. Testar localmente com Docker
docker load -i myapp.oci.tar
docker run --rm myapp:latest --version
```

Algumas dicas avançadas:
- Use `--squash` para combinar camadas e reduzir ainda mais o tamanho.
- Adicione `--no-cache` em pipelines de CI para garantir que vulnerabilidades recém‑publicadas sejam detectadas.
- Para LXD, registre a imagem com `lxc image import myapp.oci.tar --alias myapp-min`.

Estratégias de segurança e mitigação de CVE

1. **Ativar Ubuntu Pro** – Em ambientes de produção, habilite a assinatura Ubuntu Pro (`ua attach `). Isso garante que as atualizações de segurança de longo prazo (ESM) sejam aplicadas automaticamente às bibliotecas mínimas.
2. **Integrar scanners ao pipeline** – Exemplo com Trivy:
```bash
trivy image --scanners vuln,config myapp:latest --format json --output trivy-report.json
```
O relatório pode ser comparado com o SBOM gerado pelo `ubuntu-oci-builder` (`oci-builder sbom myapp.oci.tar`).
3. **Hardening do kernel** – Desative módulos não utilizados via `systemd-modprobe` dentro da imagem:
```bash
cat > /etc/modprobe.d/disable.conf <install dccp /bin/true
install sctp /bin/true
EOF
```
4. **Política de atualização automática** – Configure o `unattended-upgrades` dentro da imagem para aplicar patches de segurança críticos sem reinicialização completa (`systemctl enable --now unattended-upgrades`).

Integração com Docker e LXD

- **Docker**: As imagens OCI são totalmente compatíveis com o Docker Engine 24+. Basta usar `docker load` ou apontar o registry para o artefato gerado.
- **LXD**: O LXD aceita o formato OCI nativamente a partir da versão 5.13. Use `lxc image import` como mostrado acima e aproveite recursos como *profiles* para aplicar políticas de rede e armazenamento de forma centralizada.

Boas práticas de CI/CD

| Etapa | Comando | Objetivo |
|-------|---------|----------|
| Build | `ubuntu-oci-builder build` | Gerar imagem mínima |
| Scan  | `trivy image` | Detectar CVEs |
| Test  | `docker run --rm` | Validar runtime |
| Push  | `skopeo copy` | Publicar no registry interno |

Mantenha o manifesto versionado no repositório e adote *semantic versioning* para as imagens, facilitando rollback em caso de regressões.

Conclusão

A estratégia "Cut bloat, not features" traz ao Ubuntu um conjunto robusto de ferramentas que permitem aos sysadmins corporativos equilibrar tamanho de imagem, velocidade de entrega e segurança. Ao adotar o `ubuntu-base-minimal` e o `ubuntu-oci-builder`, as equipes de desenvolvimento reduzem drasticamente o tempo de download e o consumo de storage, ao mesmo tempo que mantêm visibilidade completa das vulnerabilidades graças à integração com Ubuntu Pro. Para ambientes de produção críticos – VPS, nuvem pública ou clusters Kubernetes – a adoção dessas práticas resulta em containers mais leves, menos superfície de ataque e maior estabilidade operacional. A recomendação final é integrar o fluxo de criação minimalista ao pipeline CI/CD, habilitar o suporte Ubuntu Pro e monitorar continuamente os relatórios de CVE, garantindo que a entrega de software continue rápida, segura e confiável.