Imagens OCI Minimalistas no Ubuntu: Redução de Bloat e Visibilidade de Segurança para Sysadmins

Introdução
A recente iniciativa "Cut bloat, not features" traz ao Ubuntu um conjunto de melhorias focadas na criação de imagens OCI (Open Container Initiative) menores e mais seguras. Para ISVs e equipes de operações, o dilema clássico entre tamanho da imagem e visibilidade de vulnerabilidades tem sido um obstáculo constante: imagens enxutas costumam esconder bibliotecas críticas, enquanto imagens completas inundam os scanners com CVEs irrelevantes. Nesta publicação, analisamos as mudanças introduzidas, seus impactos práticos em servidores de produção (VPS, Cloud) e oferecemos um passo‑a‑passo para gerar containers Docker/LXD otimizados sem sacrificar a segurança do kernel.

O que há de novo no Ubuntu?
A Canonical incluiu no repositório oficial do Ubuntu um novo metapacote chamado **ubuntu-minimal-oci**. Ele fornece uma base mínima baseada em **ubuntu-base** (versão 22.04 LTS e posteriores) que contém apenas o runtime essencial, gerenciadores de pacotes e bibliotecas de suporte ao OCI. Além disso, o **snapcraft** recebeu suporte nativo para gerar imagens OCI a partir de snaps, permitindo que desenvolvedores empacotem aplicações como snaps dentro de containers Docker sem carregar o runtime snapd completo.

Principais novidades:
- **Imagem base de 35 MB** (comparado aos ~80 MB das imagens oficiais do Ubuntu).
- **Camada de segurança integrada**: assinatura de imagem via **cosign**, verificação automática de políticas de segurança com **OPA** (Open Policy Agent).
- **Ferramentas de inspeção**: inclusão de **trivy** e **grype** como utilitários de linha de comando nas imagens de desenvolvimento, facilitando a detecção precoce de vulnerabilidades.

Impacto prático para Sysadmins
1. **Redução de custos de armazenamento** – Em ambientes de VPS ou clusters Kubernetes, a diminuição do tamanho da camada base pode representar economia de até 30 % em armazenamento persistente, além de acelerar o pull de imagens em redes com latência alta.
2. **Menor superfície de ataque** – Cada pacote removido reduz a superfície de ataque do kernel e dos namespaces. Em particular, a ausência de utilitários de depuração (strace, ltrace) e de bibliotecas de desenvolvimento impede que atacantes explorem vulnerabilidades conhecidas nesses componentes.
3. **Menos ruído de CVEs** – Scanners como **Trivy**, **Clair** ou **Anchore** apresentam relatórios mais enxutos, permitindo que as equipes de segurança foquem nas vulnerabilidades realmente relevantes ao runtime da aplicação.
4. **Compatibilidade com LXD** – O LXD agora reconhece automaticamente as imagens **ubuntu-minimal-oci** como "cloud‑optimized", habilitando a criação de containers com perfil de segurança padrão (seccomp, AppArmor) sem necessidade de ajustes manuais.

Como criar imagens OCI minimalistas
A seguir, um fluxo de trabalho recomendado para gerar uma imagem Docker/LXD mínima a partir da base Ubuntu:

```bash
# 1. Instalar a base mínima
sudo apt update && sudo apt install -y ubuntu-minimal-oci debootstrap

# 2. Criar o diretório de trabalho
mkdir -p ~/oci-image && cd ~/oci-image

# 3. Usar debootstrap para montar o filesystem
sudo debootstrap --arch=amd64 jammy ./rootfs http://archive.ubuntu.com/ubuntu/

# 4. Remover pacotes desnecessários (exemplo: manpages, docs)
sudo chroot ./rootfs apt-get purge -y man-db doc-base

# 5. Instalar dependências da aplicação
sudo chroot ./rootfs apt-get install -y ca-certificates libssl1.1

# 6. Limpar cache e gerar tarball OCI
sudo chroot ./rootfs apt-get clean && sudo rm -rf ./rootfs/var/lib/apt/lists/*

tar -C ./rootfs -c . | docker import - myapp:minimal
```

Para LXD, basta registrar a imagem:
```bash
lxc image import myapp.tar.gz --alias myapp/minimal
lxc init myapp/minimal mycontainer -c security.nesting=true
```

Boas práticas de segurança e scanner
- **Assinatura de imagem**: após o build, assine a imagem com `cosign sign myapp:minimal` e armazene a assinatura no repositório de confiança.
- **Políticas OPA**: defina regras que impeçam a execução de imagens sem assinatura ou que contenham pacotes críticos desatualizados.
- **Escaneamento contínuo**: integre o Trivy ao pipeline CI/CD (`trivy image myapp:minimal --exit-code 1 --severity HIGH,CRITICAL`). Caso um CVE seja encontrado, o build falha, garantindo que somente imagens auditadas cheguem à produção.
- **Atualizações de kernel**: mantenha o host kernel atualizado (ex.: `sudo apt install -y linux-generic-hwe-22.04`) e habilite o **Livepatch** para reduzir o tempo de exposição entre patches.

Conclusão
A estratégia "Cut bloat, not features" demonstra que é possível entregar containers menores, mais rápidos e com visibilidade de segurança aprimorada sem abrir mão da estabilidade exigida por ambientes corporativos. Ao adotar a base **ubuntu-minimal-oci**, os sysadmins ganham controle sobre a superfície de ataque, reduzem custos operacionais e simplificam a gestão de vulnerabilidades. Recomenda‑se validar a compatibilidade das aplicações críticas em um ambiente de staging antes de migrar para produção, bem como manter políticas de assinatura e escaneamento automatizadas. Essa abordagem garante que a entrega de software continue acelerada, mas sempre dentro dos mais altos padrões de segurança e confiabilidade.