Redução de Bloat em Imagens OCI no Ubuntu: Guia Técnico para Sysadmins Corporativos

Introdução
A recente iniciativa "Cut bloat, not features" anunciada pelos mantenedores do Ubuntu traz ao ecossistema de containers uma abordagem focada em minimizar o tamanho das imagens OCI sem sacrificar a visibilidade de vulnerabilidades. Para Independent Software Vendors (ISVs) e equipes de DevOps, a proposta significa um salto qualitativo na entrega de aplicações containerizadas, reduzindo o "CVE noise" e eliminando pontos cegos dos scanners de segurança. Neste artigo, analisaremos os detalhes da novidade, seus impactos práticos em servidores de produção (VPS, Cloud), segurança do kernel e administração de sistemas, além de fornecer exemplos de configuração e comandos que permitem a adoção imediata em ambientes corporativos.

O que há de novo no Ubuntu?
A Canonical introduziu um conjunto de ferramentas e metapacotes que facilitam a construção de imagens OCI enxutas a partir de bases Ubuntu. Entre as mudanças mais relevantes estão:
- **ubuntu-base-minimal**: um metapacote que inclui apenas o conjunto essencial de bibliotecas do glibc, binutils e utilitários de gerenciamento de pacotes, removendo documentação, arquivos de locale e ferramentas de depuração que não são necessárias em runtime.
- **ubuntu-oci-scan**: integração nativa com o **Canonical Livepatch** e o **Ubuntu Security Tracker**, permitindo que scanners como Trivy, Grype e Clair consultem um feed de vulnerabilidades reduzido porém completo, alinhado ao conteúdo real da imagem.
- **layer‑squash**: um novo algoritmo de compactação de camadas que elimina arquivos duplicados entre camadas sucessivas, diminuindo o tamanho final da imagem em até 30% sem alterar a assinatura das bibliotecas.
Essas funcionalidades são entregues via o repositório oficial **ubuntu-oci** e podem ser habilitadas com um simples comando `apt install ubuntu-base-minimal ubuntu-oci-scan`.

Impacto prático para Sysadmins
A adoção das imagens minimalistas afeta diretamente três áreas críticas:

1. **Desempenho e custo em ambientes Cloud/VPS**
   - Imagens menores são transferidas mais rapidamente entre registries e nós de orquestração, reduzindo o tempo de *pull* em até 40%.
   - Menor uso de armazenamento em discos SSD ou blocos de armazenamento em nuvem, resultando em economia de custos operacionais.
2. **Segurança do Kernel e Visibilidade de CVEs**
   - A integração com o Ubuntu Security Tracker garante que somente vulnerabilidades relevantes ao conjunto de pacotes instalados sejam reportadas, diminuindo o ruído de CVEs falsos‑positivos.
   - O suporte ao Livepatch mantém o kernel atualizado sem reinicializações, crucial para ambientes que exigem alta disponibilidade.
3. **Gestão de Containers (Docker/LXD)**
   - Dockerfiles podem ser simplificados usando a nova base `ubuntu:22.04-minimal` ao invés de `ubuntu:22.04`. Exemplo:
     ```dockerfile
     FROM ubuntu:22.04-minimal
     RUN apt-get update && apt-get install -y ca-certificates && rm -rf /var/lib/apt/lists/*
     CMD ["/usr/bin/myapp"]
     ```
   - LXD oferece perfis predefinidos (`minimal`) que já aplicam as otimizações de camada e políticas de segurança, facilitando a criação de containers LXC consistentes.

Passo a passo: construindo uma imagem OCI mínima
1. **Instalar as ferramentas**
   ```bash
   sudo apt update && sudo apt install -y ubuntu-base-minimal ubuntu-oci-scan skopeo
   ```
2. **Criar o Dockerfile**
   ```dockerfile
   # Dockerfile minimal-ubuntu
   FROM ubuntu:22.04-minimal
   # Habilitar repositório de segurança
   RUN echo "deb http://archive.ubuntu.com/ubuntu $(lsb_release -cs)-security main" \\
       > /etc/apt/sources.list.d/security.list && \\
       apt-get update && \\
       apt-get install -y ca-certificates curl && \\
       rm -rf /var/lib/apt/lists/*
   # Copiar aplicação
   COPY myapp /usr/local/bin/myapp
   ENTRYPOINT ["/usr/local/bin/myapp"]
   ```
3. **Construir a imagem com camada de squash**
   ```bash
   DOCKER_BUILDKIT=1 docker build --output type=oci,dest=app.oci .
   skopeo copy oci:app.oci docker://registry.example.com/myapp:minimal --squash
   ```
4. **Escanear a imagem**
   ```bash
   ubuntu-oci-scan --image docker://registry.example.com/myapp:minimal --output json > scan-report.json
   ```
   O relatório exibirá apenas vulnerabilidades presentes nos pacotes efetivamente instalados, reduzindo o número de falsos‑positivos.

Boas práticas de manutenção
- **Automatize a atualização de base**: inclua um job CI que execute `apt-get upgrade -y && apt-get autoremove -y` antes de cada build.
- **Habilite o Livepatch** no host que roda o daemon Docker/LXD para garantir que o kernel esteja sempre protegido contra vulnerabilidades críticas.
- **Monitore o tamanho das camadas** usando `docker history` ou `skopeo inspect` e estabeleça limites de tamanho (ex.: < 120 MB) nas políticas de CI/CD.

Conclusão
A estratégia "Cut bloat, not features" representa um avanço significativo para quem precisa equilibrar entregas rápidas com rigor de segurança. Ao adotar as imagens OCI minimalistas fornecidas pela Canonical, os sysadmins ganham redução de latência nas implantações, economia de recursos de armazenamento e, sobretudo, uma visão mais clara das vulnerabilidades reais que afetam seus containers. A integração nativa com o Ubuntu Security Tracker e o Livepatch garante que a estabilidade do kernel não seja comprometida, mantendo os ambientes de produção resilientes e alinhados às exigências corporativas. Recomenda‑se iniciar um piloto em um cluster de teste, validar as métricas de tamanho e tempo de *pull*, e, em seguida, expandir a política para todos os workloads críticos.