Imagens OCI Minimalistas no Ubuntu: Redução de Bloat sem Perder Funcionalidades

Introdução
A recente iniciativa "Cut bloat, not features" anunciada pela Canonical traz ao ecossistema Ubuntu um conjunto de aprimoramentos focados na criação de imagens OCI (Open Container Initiative) extremamente enxutas, sem sacrificar a visibilidade de vulnerabilidades nem a funcionalidade das aplicações. Para ISVs (Independent Software Vendors) e para equipes de DevOps que entregam containers a clientes corporativos, a proposta resolve um dilema clássico: imagens pequenas geram menos tempo de download e menor consumo de storage, mas costumam esconder bibliotecas essenciais que, se omitidas, criam "blind spots" nos scanners de segurança. Neste artigo, analisaremos os impactos práticos da novidade nos servidores de produção (VPS, Cloud), na segurança do kernel, nos runtimes Docker/LXD e nas rotinas diárias de um Sysadmin experiente.

O que há de novo no Ubuntu?
1. **Base de runtime enxuta baseada em Ubuntu minimal** – A Canonical disponibiliza um novo conjunto de pacotes base (ubuntu-minimal-runtime) que elimina ferramentas de depuração, documentação e locales desnecessários, reduzindo o tamanho da camada "scratch" de ~70 MB para menos de 30 MB.
2. **Metapacotes de segurança integrados** – Um metapacote chamado `ubuntu-oci-secure` inclui apenas as bibliotecas necessárias para a verificação de assinaturas de imagem e para a geração de SBOMs (Software Bill of Materials) compatíveis com o SPDX.
3. **Suporte nativo a `syft` e `grype`** – As imagens geradas já contêm os binários de análise de vulnerabilidades da Anchore, permitindo que scanners de CI/CD façam a inspeção sem precisar instalar ferramentas adicionais.
4. **Camada de "micro‑kernel" opcional** – Para workloads que exigem isolamento máximo, a nova camada `ubuntu-microkernel` permite compilar o kernel com apenas os módulos imprescindíveis, reduzindo a superfície de ataque.

Impacto prático para Sysadmins

1. Redução de custos em ambientes VPS e Cloud
A diminuição do tamanho da imagem tem efeito direto nos custos de egress traffic e armazenamento. Em um cenário típico de 100 instâncias EC2 t3.micro, a economia de 40 MB por imagem equivale a ~4 GB de transferência mensal – cerca de US$ 0,40 em taxas de saída na AWS. Além disso, o menor footprint acelera o provisionamento via cloud‑init, reduzindo o tempo de boot de ~12 s para ~7 s.

2. Visibilidade de CVEs aprimorada
Com os metapacotes `ubuntu-oci-secure`, as ferramentas de scanning (por exemplo, Trivy, Grype) reconhecem automaticamente a camada de runtime e reportam vulnerabilidades reais, eliminando o ruído de falsos positivos que costumava ocorrer quando bibliotecas de desenvolvimento eram incluídas por engano. Exemplo de comando de integração CI:
```
trivy image --severity HIGH,CRITICAL myapp:latest
```
O relatório agora inclui apenas CVEs das bibliotecas efetivamente presentes na imagem.

3. Segurança do kernel e mitigação de ataques
O `ubuntu-microkernel` permite gerar um kernel customizado com apenas os módulos `cgroup`, `overlayfs` e `br_netfilter`. Essa configuração reduz a superfície de ataque em aproximadamente 30 %. Para aplicar, basta:
```
sudo apt-get install ubuntu-microkernel
sudo microkernel-build --modules=cgroup,overlayfs,br_netfilter
sudo reboot
```
Após o reboot, verifique com `lsmod | wc -l` – o número de módulos carregados deve ser drasticamente menor que o padrão (~150 vs ~45).

4. Compatibilidade com Docker e LXD
As imagens minimalistas são 100 % compatíveis com Docker, Podman e LXD. No LXD, o perfil `ubuntu-minimal` já vem pré‑configurado para usar a nova camada. Exemplo de criação rápida:
```
lxc launch images:ubuntu/22.04 mycontainer -p default -p ubuntu-minimal
```
Para Docker, basta referenciar a tag oficial `ubuntu/minimal:22.04`:
```
docker pull ubuntu/minimal:22.04
docker run --rm -it ubuntu/minimal:22.04 bash
```
Ambos os runtimes beneficiam‑se da camada `ubuntu-oci-secure`, que garante que a imagem contenha os arquivos de manifesto necessários para a assinatura de conteúdo (cosign, Notary v2).

5. Estratégias de atualização sem downtime
A Canonical recomenda o uso de `apt-get --download-only` para pré‑baixar atualizações da camada base e, em seguida, aplicar com `apt-get upgrade -y` dentro do container em modo "read‑only". Essa prática permite que a imagem seja reconstruída em segundos, facilitando roll‑backs via tags de Docker.

Conclusão – Estabilidade como prioridade
A proposta "Cut bloat, not features" demonstra que é possível otimizar o tamanho das imagens OCI sem comprometer a segurança ou a confiabilidade das aplicações. Para administradores que gerenciam infraestruturas críticas, a adoção das imagens Ubuntu minimalistas traz ganhos tangíveis em custos operacionais, velocidade de deploy e clareza nas auditorias de vulnerabilidades. Ao combinar o micro‑kernel opcional com os metapacotes de segurança, a solução mantém a estabilidade esperada em ambientes corporativos, permitindo que equipes de DevOps entreguem software mais rápido e com menos ruído de segurança. Recomenda‑se iniciar um piloto em ambientes de staging, validar a compatibilidade das dependências internas e, gradualmente, migrar workloads de produção para as novas imagens – garantindo, assim, que a redução de bloat não venha à custa da robustez que os clientes empresariais exigem.