Reduza o peso, não os recursos: Imagens OCI minimalistas para entrega acelerada de software no Ubuntu

Introdução
A recente iniciativa "Cut bloat, not features" traz ao ecossistema Ubuntu um conjunto de ferramentas e recomendações para a criação de imagens OCI (Open Container Initiative) extremamente enxutas, sem sacrificar a visibilidade de segurança. Para ISVs e equipes de DevOps, o dilema clássico entre tamanho de imagem e cobertura de vulnerabilidades tem sido fonte de atrasos e falsos positivos (CVE noise). Este artigo explora, de forma prática, como aplicar as novidades em ambientes de produção – VPS, nuvem pública ou privada – e quais impactos isso tem na segurança do kernel, nos containers Docker/LXD e na rotina do administrador de sistemas.

O que há de novo no Ubuntu?
A Canonical lançou, junto ao Ubuntu 24.04 LTS, o pacote **ubuntu-minimal-oci** e atualizou o *snapcraft* e o *cloud-image-builder* para suportar a geração automática de imagens OCI com camadas reduzidas. Entre as principais melhorias:
- **Base minimalista baseada em `debootstrap --variant=minbase`** que elimina pacotes de documentação, idiomas desnecessários e ferramentas de depuração.
- **Integração nativa com o scanner de vulnerabilidades Trivy** que gera um *SBOM* (Software Bill of Materials) durante o build.
- **Assinatura automática com Cosign**, garantindo integridade e autenticidade da imagem.
- **Camada de compressão `zstd`** por padrão, reduzindo o tamanho final em até 30% comparado ao `gzip` tradicional.

Impacto prático para Sysadmins
1. **Redução de custos de armazenamento** – Imagens 150‑200 MB em vez de 400‑500 MB significam menos espaço em registries privados e menores transferências de rede.
2. **Menor superfície de ataque** – Menos pacotes = menos vetores de exploração. O kernel continua intacto, mas o *attack surface* do container diminui drasticamente.
3. **Menos ruído de CVEs** – O SBOM permite que scanners foquem apenas nos componentes efetivamente presentes, eliminando milhares de falsos positivos.
4. **Melhor performance de start‑up** – Containers iniciam 20‑30% mais rápido, crucial para workloads serverless ou auto‑scaling.

Como criar imagens OCI minimalistas
A seguir, um fluxo de trabalho recomendado usando as ferramentas oficiais do Ubuntu:

Código Selecionar Expandir

# 1. Instale o builder atualizado
sudo apt update && sudo apt install -y cloud-image-builder ubuntu-minimal-oci

# 2. Crie um diretório de trabalho
mkdir -p ~/oci-build && cd ~/oci-build

# 3. Use debootstrap para gerar a base mínima
sudo debootstrap --variant=minbase --arch=amd64 focal rootfs http://archive.ubuntu.com/ubuntu/

# 4. Remova pacotes desnecessários (exemplo: manpages, locales)
sudo chroot rootfs apt-get purge -y man-db language-pack-*

# 5. Instale apenas o runtime da aplicação
sudo chroot rootfs apt-get install -y myapp-runtime

# 6. Gere o SBOM com Trivy e assine com Cosign
trivy fs --format cyclonedx rootfs > sbom.json
cosign sign-blob --key cosign.key --output signature rootfs.tar

# 7. Construa a imagem OCI usando Skopeo
skopeo copy --dest-compress-type zstd docker-archive:rootfs.tar oci:myapp:1.0.0

Integração com scanners de vulnerabilidade
A nova pipeline produz um *SBOM* em formato CycloneDX, que pode ser consumido por ferramentas como **GitHub Dependabot**, **Anchore Engine** ou **Clair**. Exemplo de ingestão no Trivy CI:

Código Selecionar Expandir

trivy image --sbom sbom.json --severity HIGH,CRITICAL myregistry.example.com/myapp:1.0.0
Isso elimina a necessidade de varredura completa da camada base, reduzindo o tempo de CI de minutos para segundos.

Boas práticas de segurança do kernel e containers
- **Harden o kernel**: habilite `kernel.unprivileged_userns_clone=0` e `fs.protected_symlinks=1` via `/etc/sysctl.d/99-secure.conf`.
- **Utilize namespaces restritos**: ao iniciar o container, adicione `--security-opt=no-new-privileges` e `--cap-drop=ALL`.
- **Implemente AppArmor profiles**: o Ubuntu já fornece perfis `docker-default`; ajuste-os para o seu workload.
- **Verifique a assinatura**: antes de puxar a imagem, use `cosign verify --key cosign.pub myregistry.example.com/myapp:1.0.0`.

Conclusão
A estratégia "Cut bloat, not features" representa um salto qualitativo para quem opera containers em produção no Ubuntu. Ao adotar imagens OCI minimalistas, os sysadmins ganham economia de recursos, maior velocidade de implantação e, sobretudo, uma postura de segurança mais robusta, mitigando o ruído de CVEs e reduzindo a superfície de ataque. Como sempre, a estabilidade permanece como prioridade: teste as imagens em ambientes de staging, valide o SBOM e mantenha as assinaturas atualizadas. Dessa forma, a entrega de software acelera sem comprometer a confiabilidade que os clientes corporativos exigem.