Entrega de Containers OCI enxutos no Ubuntu: Reduza o inchaço sem perder recursos

Introdução

No último ciclo de atualizações do Ubuntu, a Canonical lançou a iniciativa "Cut bloat, not features", que traz um conjunto de ferramentas e recomendações para gerar imagens OCI (Open Container Initiative) menores, mais rápidas e com visibilidade de vulnerabilidades aprimorada. Para ISVs (Independent Software Vendors) e equipes de DevOps, o desafio clássico tem sido equilibrar o tamanho da imagem – que impacta tempo de download, uso de banda e superfície de ataque – com a necessidade de manter todos os pacotes de segurança visíveis para scanners de vulnerabilidade. Este artigo detalha os aspectos técnicos da novidade, demonstra como aplicá‑la em servidores de produção (VPS, Cloud) e discute as implicações para a segurança do kernel e a administração de sistemas Linux.

O que há de novo no Ubuntu?

A Canonical introduziu três componentes principais no repositório oficial:
1. **ubuntu-minimal-base** – uma meta‑imagem OCI que contém apenas o conjunto mínimo de bibliotecas essenciais (glibc, libssl, libsystemd) e o gerenciador de pacotes apt. Ela substitui o tradicional `ubuntu:latest` que inclui dezenas de megabytes de utilitários de depuração e documentação.
2. **ubuntu-image‑optimiser (uio)** – uma ferramenta de linha de comando que automatiza a remoção de arquivos desnecessários (man pages, locales, docs) e aplica o recurso `--squash` do Docker para fundir camadas, reduzindo o tamanho final em até 60%.
3. **OCI‑SBOM generator** – integração com o `syft` da Anchore para gerar Bill of Materials (BOM) em formato SPDX, facilitando a correlação entre CVEs e pacotes presentes na imagem.

Esses recursos são distribuídos nos repositórios `ubuntu-focal-updates` e `ubuntu-jammy-security`, permitindo que a maioria das distribuições LTS já os tenha disponíveis via `apt`.

Impacto prático para Sysadmins

* **Redução de tempo de deploy** – Imagens menores são transferidas mais rapidamente entre registries e nós de orquestração (K8s, Swarm). Em ambientes de VPS com banda limitada, a diferença pode passar de 30 s para menos de 10 s por pull.
* **Menor superfície de ataque** – Cada pacote removido reduz a superfície de vulnerabilidades. Como o `ubuntu-minimal-base` já exclui ferramentas como `gcc`, `make` e `perl`, os scanners não geram ruído de CVEs irrelevantes.
* **Visibilidade aprimorada** – O SBOM integrado permite que ferramentas como `trivy` ou `grype` identifiquem exatamente quais pacotes estão presentes, eliminando falsos‑positivos causados por arquivos de documentação que não são executáveis.
* **Compatibilidade com LXD** – O `ubuntu-minimal-base` pode ser usado como imagem de base para contêineres LXD, mantendo a mesma experiência de gerenciamento de perfis AppArmor e seccomp.

Dicas de implementação e comandos

1. **Instalar as novas ferramentas**
   ```bash
   sudo apt update && sudo apt install ubuntu-minimal-base ubuntu-image-optimiser oci-sbom-generator
   ```
2. **Criar uma imagem Docker mínima**
   ```Dockerfile
   FROM ubuntu-minimal-base:22.04
   # Instala apenas o runtime da aplicação
   RUN apt-get update && apt-get install -y --no-install-recommends \\
       ca-certificates curl && \\
       rm -rf /var/lib/apt/lists/*
   COPY myapp /usr/local/bin/myapp
   ENTRYPOINT ["/usr/local/bin/myapp"]
   ```
   Em seguida, construa com otimização:
   ```bash
   docker build -t myapp:slim --squash .
   ```
3. **Aplicar o `ubuntu-image-optimiser` pós‑build**
   ```bash
   uio prune --remove-locales --remove-docs myapp:slim
   ```
   O comando remove arquivos de localização (`/usr/share/locale/*`) e documentação (`/usr/share/man/*`).
4. **Gerar SBOM e assinar a imagem**
   ```bash
   syft myapp:slim -o spdx-json=sbom.json
   cosign sign --key cosign.key myapp:slim
   ```
   O SBOM pode ser carregado no GitLab CI/CD para auditoria automática.
5. **Escanear vulnerabilidades com contexto completo**
   ```bash
   trivy image --scanners vuln,config --severity HIGH,CRITICAL myapp:slim
   ```
   Observe que o relatório agora contém apenas CVEs referentes aos pacotes instalados, sem ruído de bibliotecas de desenvolvimento.

Considerações de segurança do kernel

Embora a redução de tamanho seja benéfica, é crucial garantir que o kernel do host continue configurado com módulos de segurança adequados. Recomenda‑se:
- **Habilitar AppArmor** ou **SELinux** (dependendo da política da organização) para impor confinamento de processos dentro do contêiner.
- **Aplicar perfis seccomp** modernos (`docker run --security-opt seccomp=default.json`). O Ubuntu fornece perfis `ubuntu-seccomp` que bloqueiam syscalls raramente usadas por aplicações de produção.
- **Manter o kernel atualizado** – mesmo que a imagem seja mínima, o kernel do host ainda lida com syscalls. Use o `canonical-livepatch` em servidores críticos para aplicar patches de segurança sem reinicialização.

Conclusão – estabilidade em produção

A estratégia "Cut bloat, not features" traz ao ecossistema Ubuntu um caminho sólido para criar imagens OCI enxutas sem sacrificar a rastreabilidade de vulnerabilidades. Para sysadmins que gerenciam VPS, clusters de nuvem ou ambientes LXD, a adoção das meta‑imagens `ubuntu-minimal-base` combinada com `ubuntu-image-optimiser` e o gerador de SBOM resulta em deploys mais rápidos, menor consumo de banda e relatórios de segurança mais claros. Ao alinhar essas práticas com políticas de kernel hardening (AppArmor, seccomp) e utilizar assinaturas de imagem (`cosign`), a estabilidade operacional é mantida, permitindo que as equipes de desenvolvimento entreguem software com confiança e agilidade.