Como anexar a assinatura Ubuntu Pro a imagens do AWS Image Builder: Guia prático para Sysadmins

Introdução

A Canonical acaba de anunciar que agora é possível anexar uma assinatura Ubuntu Pro diretamente a qualquer imagem base criada com o AWS Image Builder. Essa integração simplifica a criação de imagens personalizadas já com cobertura de segurança estendida, patches de kernel críticos e suporte a longo prazo (ESM). Para equipes de infraestrutura que operam em ambientes híbridos ou totalmente na nuvem, a novidade elimina etapas manuais de pós‑processamento e garante que todas as instâncias lançadas a partir da imagem já estejam em conformidade com as políticas de segurança corporativa.

O que há de novo no Ubuntu?

- **Ubuntu Pro**: plano de assinatura que inclui atualizações de segurança por até 10 anos, suporte a pacotes de universo e patches de kernel CVE críticos (Livepatch).
- **Integração nativa com AWS Image Builder**: o serviço da AWS agora aceita o parâmetro `proSubscriptionArn` ao definir a etapa de "customize". Isso permite que a assinatura seja aplicada durante a fase de build, antes da primeira instância ser lançada.
- **Cobertura automática**: todas as camadas da imagem (base, pacotes instalados e scripts de configuração) são marcadas como "Pro‑enabled", facilitando auditorias de conformidade.

Impacto prático para Sysadmins

1. **Redução de tempo de provisionamento** – Não será mais necessário executar `ua attach` ou `canonical-livepatch enable` após o boot da VM. A imagem já chega pronta para receber patches de segurança críticos.
2. **Consistência entre ambientes** – Imagens construídas no Image Builder podem ser reutilizadas tanto em EC2 quanto em instâncias on‑premises via `ubuntu-image` ou `cloud‑init`, mantendo a mesma base Pro.
3. **Custo previsível** – A assinatura é cobrada por conta AWS, mas o modelo de licenciamento "pay‑as‑you‑go" evita surpresas de renovação manual.
4. **Compliance simplificado** – Ferramentas de auditoria (AWS Config, CIS Benchmarks) reconhecem a tag `ubuntu-pro:true` embutida na AMI, facilitando relatórios de aderência.

Segurança do Kernel e Atualizações de Longo Prazo

Com o Ubuntu Pro, o kernel recebe patches de vulnerabilidades críticas (CVEs) via Livepatch, mesmo entre os ciclos de release. Quando a assinatura é anexada na fase de build, o agente `canonical-livepatch` já está configurado com a chave da conta, permitindo que o serviço de Livepatch atualize o kernel em tempo real, sem reinicializações. Isso reduz drasticamente a janela de exposição, especialmente em workloads sensíveis que exigem alta disponibilidade.

Containers (Docker/LXD) e Imagens Base

A maioria dos containers parte de imagens `ubuntu:XX.XX`. Ao criar uma AMI Pro‑enabled, você pode exportar a camada raiz como um tarball (`docker export`) ou usar `lxd image export`, mantendo a assinatura embutida. Quando o container é iniciado, o pacote `ubuntu-advantage-tools` já está presente, permitindo que o container herde a cobertura de segurança da host, ou mesmo ative o Livepatch se o host for Pro.

Passo‑a‑passo: Anexando a assinatura Ubuntu Pro no AWS Image Builder

1. **Pré‑requisitos**
   - Conta AWS com permissão `imagebuilder:*` e `iam:PassRole`.
   - Assinatura Ubuntu Pro válida (ARN da assinatura).
   - CLI AWS configurada (`aws configure`).

2. **Criar a role IAM**
   ```bash
   aws iam create-role \\
     --role-name ImageBuilderUbuntuProRole \\
     --assume-role-policy-document file://trust-policy.json
   ```
   O `trust-policy.json` deve permitir `imagebuilder.amazonaws.com`.

3. **Anexar política de acesso ao Ubuntu Pro**
   ```bash
   aws iam attach-role-policy \\
     --role-name ImageBuilderUbuntuProRole \\
     --policy-arn arn:aws:iam::aws:policy/UbuntuProAccess
   ```

4. **Definir o pipeline no Image Builder**
   ```json
   {
     "name": "ubuntu-pro-pipeline",
     "description": "Build Ubuntu 22.04 LTS with Pro subscription",
     "roleArn": "arn:aws:iam::123456789012:role/ImageBuilderUbuntuProRole",
     "imageRecipeArn": "arn:aws:imagebuilder:us-east-1:123456789012:image-recipe/ubuntu-pro-recipe/1.0.0",
     "infrastructureConfigurationArn": "arn:aws:imagebuilder:us-east-1:123456789012:infrastructure-configuration/ubuntu-pro-infra",
     "distributionConfigurationArn": "arn:aws:imagebuilder:us-east-1:123456789012:distribution-configuration/ubuntu-pro-dist",
     "enhancedImageMetadataEnabled": true,
     "imageTestsConfiguration": {"imageTestsEnabled": true},
     "schedule": {"scheduleExpression": "cron(0 0 ? * SUN *)"}
   }
   ```
   Observe o campo `proSubscriptionArn` dentro da `imageRecipe`:
   ```json
   "components": [
     {"componentArn": "arn:aws:imagebuilder:us-east-1:aws:component/ubuntu-base/1.0.0"},
     {"componentArn": "arn:aws:imagebuilder:us-east-1:aws:component/attach-ubuntu-pro/1.0.0", "parameters": [{"name": "proSubscriptionArn", "value": ["arn:aws:canonical:pro:123456789012:subscription"]}]}
   ]
   ```

5. **Iniciar o build**
   ```bash
   aws imagebuilder start-image-pipeline-execution --image-pipeline-arn arn:aws:imagebuilder:us-east-1:123456789012:image-pipeline/ubuntu-pro-pipeline
   ```
   Quando o build concluir, a AMI resultante terá a tag `ubuntu-pro:true`.

6. **Verificar a assinatura**
   ```bash
   aws ec2 describe-images --image-ids ami-0abcd1234ef567890 --query 'Images[0].Tags'
   ```
   Você verá algo como:
   ```json
   [{"Key":"ubuntu-pro","Value":"true"}]
   ```

Considerações de estabilidade e custos

- **Estabilidade** – As imagens geradas são testadas pelo próprio Image Builder (fase de "image tests"). Além disso, a assinatura Pro garante que o kernel receba patches críticos sem necessidade de reboot, reduzindo a frequência de janelas de manutenção.
- **Custo** – O preço da assinatura Ubuntu Pro na AWS é cobrado por hora de uso da AMI (aprox. US$0.02/h). Em ambientes de produção com alta rotatividade de instâncias, o custo pode ser amortizado pelo ganho de segurança e menor tempo de inatividade.
- **Rollback** – Caso precise reverter para uma versão não‑Pro, basta usar a AMI padrão `ubuntu-22.04-lts` ou remover a tag `ubuntu-pro:true` e desativar o Livepatch via `ua detach`.

Conclusão

A capacidade de anexar uma assinatura Ubuntu Pro diretamente ao fluxo de criação de imagens no AWS Image Builder representa um salto qualitativo na automação de infraestrutura segura. Sysadmins ganham consistência, reduzem a superfície de ataque e eliminam etapas manuais que historicamente geravam erros de configuração. Ao adotar essa prática, as organizações podem alinhar-se rapidamente às exigências de compliance (PCI‑DSS, GDPR) e manter a estabilidade operacional, beneficiando‑se de patches de kernel em tempo real e de um ciclo de vida de imagem previsível. Em resumo, a integração Ubuntu Pro + Image Builder é uma solução corporativa madura que combina segurança de nível enterprise com a agilidade da nuvem AWS.