Como anexar a assinatura Ubuntu Pro a imagens criadas no AWS Image Builder – Guia avançado para Sysadmins

Introdução
A integração direta da assinatura Ubuntu Pro com o AWS Image Builder chega como mais um pilar da estratégia de "cloud‑first" da Canonical. A partir de agora, ao gerar imagens personalizadas no Amazon EC2, você pode habilitar, já na camada base, todos os benefícios do Ubuntu Pro – patches de segurança estendidos, hardening do kernel, suporte a CVEs críticos e acesso a pacotes de nível empresarial. Este artigo detalha o que mudou, como aplicar a novidade em ambientes de produção e quais são as implicações para segurança, containers e pipelines de CI/CD.

O que há de novo no Ubuntu Pro para AWS Image Builder
- **Assinatura automática**: ao definir a propriedade `proSubscription` no template do Image Builder, a imagem resultante já contém o token de assinatura e o agente `ubuntu-advantage-tools` configurado.
- **Cobertura completa de segurança**: inclui o Extended Security Maintenance (ESM) para kernels e bibliotecas, além de patches de vulnerabilidades de nível crítico (CVEs) que antes só eram aplicados em servidores com contrato pago.
- **Compatibilidade com todas as regiões AWS**: a integração funciona tanto nas regiões padrão quanto nas de alta disponibilidade (us‑east‑1, eu‑central‑1, ap‑southeast‑2, etc.).
- **Sem necessidade de pós‑instalação**: elimina o passo manual de `pro attach ` após o boot, reduzindo a janela de exposição.

Impacto prático para servidores de produção
Para quem gerencia VPS, clusters Kubernetes ou workloads críticos no EC2, a novidade traz:
1. **Redução do tempo de hardening** – as políticas de compliance (CIS, PCI‑DSS) podem ser aplicadas já na imagem base.
2. **Patch management simplificado** – o `unattended-upgrades` do Ubuntu Pro aplica atualizações de kernel e bibliotecas sem reinicializações inesperadas, facilitando a janela de manutenção.
3. **Consistência entre ambientes** – a mesma imagem pode ser utilizada para desenvolvimento, teste e produção, garantindo que todos os nós compartilhem o mesmo nível de suporte e segurança.
4. **Economia de licenciamento** – ao centralizar a assinatura no Image Builder, evita‑se a necessidade de múltiplas chaves de licença espalhadas por scripts de bootstrap.

Passo a passo: anexando a assinatura Ubuntu Pro
Pré‑requisitos
- Conta AWS com permissão `imagebuilder:*` e `ssm:*`.
- Token de assinatura Ubuntu Pro (obtenha em https://ubuntu.com/pro/dashboard).
- AWS CLI v2 configurado.

1. Crie um componente customizado
```bash
aws imagebuilder create-component \\
  --name "UbuntuProAttach" \\
  --platform "Linux" \\
  --version "1.0.0" \\
  --description "Instala e anexa Ubuntu Pro" \\
  --data '{
    "name": "UbuntuProAttach",
    "description": "Instala ubuntu-advantage-tools e anexa token",
    "phases": {
      "build": {
        "commands": [
          "apt-get update",
          "apt-get install -y ubuntu-advantage-tools",
          "pro attach $UBUNTU_PRO_TOKEN",
          "pro enable esm-infra",
          "pro enable livepatch"
        ]
      }
    }
  }'
```
Observe que a variável `$UBUNTU_PRO_TOKEN` será passada via parâmetro do pipeline (SSM Parameter Store, criptografado com KMS).

2. Defina o pipeline de imagem
```bash
aws imagebuilder create-image-pipeline \\
  --name "ProdUbuntuProPipeline" \\
  --description "Pipeline que gera Ubuntu 22.04 LTS com Pro" \\
  --image-recipe-arn "arn:aws:imagebuilder:us-east-1:123456789012:recipe/Ubuntu2204Pro/1.0.0" \\
  --infrastructure-configuration-arn "arn:aws:imagebuilder:us-east-1:123456789012:infrastructure-configuration/ProdInfra" \\
  --distribution-configuration-arn "arn:aws:imagebuilder:us-east-1:123456789012:distribution-configuration/ProdDist" \\
  --schedule '{"scheduleExpression":"cron(0 2 * * ? *)","pipelineExecutionStartCondition":"EXPRESSION_MATCH_ONLY"}' \\
  --status ENABLED
```
O `image-recipe` deve referenciar o componente `UbuntuProAttach` criado no passo anterior.

3. Verifique a assinatura
Depois que a imagem for publicada, inicie uma instância e execute:
```bash
pro status
```
A saída deve listar todos os serviços habilitados (ESM, Livepatch, FIPS, etc.) sem necessidade de login adicional.

Segurança do kernel e atualizações automáticas
Ubuntu Pro inclui o **kernel livepatch** (para kernels 5.15+), permitindo a aplicação de correções críticas sem reinicialização. Em ambientes de alta disponibilidade, isso reduz drasticamente o risco de downtime inesperado. Para ativar o livepatch via Image Builder, basta adicionar `pro enable livepatch` ao componente. Além disso, o `esm-infra` garante que bibliotecas de infraestrutura (glibc, OpenSSL) continuem recebendo patches mesmo após o fim do LTS padrão.

Integração com containers Docker e LXD
- **Docker**: ao basear suas imagens Docker em um `FROM ubuntu:22.04` gerado pelo Image Builder, o container herda o token de assinatura (armazenado em `/etc/apt/auth.conf.d/ubuntu-pro.conf`). Isso significa que `apt-get upgrade` dentro do container também recebe patches ESM.
- **LXD**: LXD permite criar containers de sistema a partir de imagens customizadas. Use o comando:
```bash
lxc image import ubuntu-pro-image.tar.gz --alias ubuntu-pro-22.04
lxc launch ubuntu-pro-22.04 mycontainer
```
O container terá `ubuntu-advantage-tools` ativo, facilitando a gestão de pacotes de segurança dentro de ambientes de desenvolvimento isolados.

Automação e CI/CD
A integração pode ser estendida a pipelines GitLab CI, GitHub Actions ou Jenkins usando o AWS CLI ou o plugin Terraform `aws_imagebuilder`. Exemplo rápido com Terraform:
```hcl
resource "aws_imagebuilder_image_recipe" "ubuntu_pro" {
  name         = "Ubuntu2204Pro"
  version      = "1.0.0"
  parent_image = "arn:aws:imagebuilder:us-east-1:aws:image/ubuntu-22-lts-x86_64"
  component {
    component_arn = aws_imagebuilder_component.ubuntu_pro_attach.arn
  }
}
```
Isso garante que a mesma definição de imagem seja versionada junto ao código‑fonte, promovendo **Infrastructure as Code** (IaC) completa.

Conclusão
Anexar a assinatura Ubuntu Pro diretamente no AWS Image Builder transforma a criação de imagens em um processo **zero‑trust** desde o primeiro byte. Sysadmins ganham consistência de patching, suporte estendido e redução de passos manuais, o que se traduz em maior estabilidade operacional e menor superfície de ataque. Ao incorporar o componente Pro nos pipelines de CI/CD, as equipes podem entregar servidores, VMs e containers com garantia de compliance corporativo, simplificando auditorias e atendendo a requisitos de governança. Em resumo, a nova funcionalidade eleva o padrão de confiabilidade das infraestruturas cloud‑native baseadas em Ubuntu.