Imagens OCI Minimalistas: Reduzindo Bloat sem Perder Funcionalidade para Infraestruturas Ubuntu

Introdução
A entrega rápida de aplicações containerizadas tem sido um dos pilares da estratégia DevOps nas empresas que utilizam Ubuntu como base. Contudo, o dilema entre manter imagens OCI (Open Container Initiative) pequenas e garantir visibilidade completa de vulnerabilidades persiste. A recente iniciativa "Cut bloat, not features" traz ao ecossistema Ubuntu ferramentas e boas‑práticas para gerar imagens enxutas, ao mesmo tempo em que melhora a precisão dos scanners de CVE. Este artigo aprofunda os impactos práticos dessa novidade para servidores de produção (VPS, Cloud), segurança do kernel, containers Docker/LXD e para a rotina diária de um Sysadmin.

O que há de novo no Ubuntu?
A Canonical introduziu um conjunto de aprimoramentos no snapcraft e no build‑pack que permitem:
1. **Camadas de dependência finas** – o build‑system analisa o binário e inclui apenas bibliotecas realmente utilizadas.
2. **Metadados de vulnerabilidade embutidos** – cada camada recebe um manifesto SBOM (Software Bill of Materials) que os scanners podem consumir sem precisar de heurísticas agressivas.
3. **Integração com o Ubuntu Pro** – o serviço de correção automática de CVEs é acionado apenas para pacotes presentes na imagem, reduzindo o ruído.
Essas mudanças são entregues via pacotes `ubuntu-minimal-oci` e `oci-image-tools` disponíveis a partir da versão 24.04 LTS.

Impacto prático para Sysadmins

1. Redução de tamanho de imagem
A criação de uma imagem mínima agora pode ser feita com um único comando:

Código Selecionar Expandir

sudo snapcraft pack --target=oci --base=ubuntu:24.04 myapp.snapO resultado costuma ficar entre 30 % e 50 % menor que uma imagem Docker tradicional baseada em `ubuntu:latest`. Em ambientes VPS onde o custo de armazenamento é cobrado por GB, a economia pode chegar a dezenas de dólares mensais.

2. Visibilidade de vulnerabilidades aprimorada
Ao gerar a imagem, o `oci-image-tools` produz um arquivo `sbom.json` que pode ser consumido por scanners como Trivy, Grype ou o próprio Ubuntu Security Tracker:

Código Selecionar Expandir

trivy image --sbom sbom.json myapp:oci
grype sbom:sbom.jsonEssas ferramentas deixam de reportar falsos positivos (CVEs em bibliotecas não incluídas) e, ao mesmo tempo, apontam vulnerabilidades reais que antes passavam despercebidas por scanners que analisavam apenas a camada base.

3. Segurança do kernel e mitigação de ataque de superfície
Imagens menores carregam menos código em memória, reduzindo a superfície de ataque. Além disso, o manifesto SBOM permite que o kernel aplique políticas de AppArmor ou SELinux de forma mais granular, pois o nome do pacote e a versão são conhecidos de antemão. Um exemplo de política AppArmor para limitar acesso a `/proc`:

Código Selecionar Expandir

profile myapp-oci flags=(attach_disconnected) {
  # Permite apenas leitura de /proc/version
  /proc/version r,
  # Negar tudo o mais
  deny /** rwx,
}Essa política pode ser aplicada ao iniciar o container com LXD:

Código Selecionar Expandir

lxc launch ubuntu:24.04 myapp -c security.apparmor.profile=myapp-oci
4. Integração com pipelines CI/CD
A nova CLI `oci-image-tools` inclui sub‑comandos que facilitam a integração em pipelines GitLab ou GitHub Actions:

Código Selecionar Expandir

steps:
  - name: Build OCI image
    run: sudo snapcraft pack --target=oci --base=ubuntu:24.04 myapp.snap
  - name: Scan SBOM
    run: trivy image --sbom sbom.json myapp:oci
  - name: Push to registry
    run: oras push myregistry.io/myapp:latest myapp:ociO pipeline passa a falhar somente quando vulnerabilidades reais são encontradas, evitando bloqueios por ruído.

5. Compatibilidade com Docker e LXD
As imagens OCI geradas são compatíveis tanto com o runtime Docker quanto com o LXD. Para Docker basta usar o driver `docker-oci`:

Código Selecionar Expandir

docker run --runtime=oci myapp:latestPara LXD, basta importar a imagem:

Código Selecionar Expandir

lxc image import myapp.oci --alias myapp
lxc launch myapp mycontainerA interoperabilidade garante que equipes que ainda utilizam Docker não precisem migrar imediatamente.

Conclusão – Estabilidade como prioridade
A estratégia "Cut bloat, not features" alinha-se perfeitamente com o modelo de operação corporativa que preza pela estabilidade. Imagens menores reduzem tempo de download, consumo de disco e risco de vulnerabilidades ocultas, ao mesmo tempo que mantêm a rastreabilidade completa via SBOM. Para o Sysadmin, isso significa menos interrupções por patches emergenciais, menos falsos positivos nos scanners e maior previsibilidade nos upgrades de kernel. Recomenda‑se iniciar um piloto em ambientes de teste, validar a integração com os scanners existentes e, gradualmente, migrar workloads críticos para as novas imagens OCI minimalistas. Dessa forma, a organização ganha em agilidade sem sacrificar a robustez que os clientes corporativos esperam do Ubuntu.