Reduza o Inchaço, Não as Funcionalidades – Imagens OCI Mínimas para Entrega de Software no Ubuntu

Introdução
A necessidade de entregar aplicações containerizadas de forma rápida e segura tem pressionado ISVs a repensar o tamanho das imagens OCI. Imagens volumosas aumentam o tempo de download, consomem mais armazenamento e, sobretudo, ampliam a superfície de ataque, gerando ruído de CVEs que dificulta a triagem. O novo esforço da comunidade Ubuntu, descrito no comunicado "Cut bloat, not features", traz ferramentas e práticas para gerar imagens OCI mínimas sem sacrificar funcionalidades essenciais. Neste artigo, vamos analisar o impacto prático dessa mudança para ambientes de produção – VPS, nuvem pública ou privada – e apresentar um passo‑a‑passo para criar imagens enxutas, seguras e prontas para o ciclo CI/CD.

O que há de novo no Ubuntu?
A Canonical introduziu no repositório oficial do Ubuntu pacotes como **ubuntu-minimal-base** e **ubuntu-oci-tools**, que permitem a construção de imagens base a partir de um conjunto reduzido de bibliotecas do glibc, binutils e utilitários de gerenciamento de pacotes. Além disso, o **snapcraft** recebeu melhorias para gerar *snapshots* de imagens OCI a partir de *snaps* de runtime, garantindo que apenas os componentes necessários sejam incluídos. O novo *metadata* no arquivo `manifest.json` permite que scanners de vulnerabilidade identifiquem exatamente quais pacotes foram incluídos, reduzindo falsos positivos.

Impacto prático para Sysadmins
* **Redução de latência** – Imagens que caem de 500 MB para menos de 150 MB diminuem o tempo de pull em até 70 % em redes de baixa largura de banda.
* **Economia de storage** – Em ambientes com milhares de containers, a economia pode superar 10 TB por mês.
* **Visibilidade de segurança** – Menos pacotes significa menos CVEs a serem monitorados; scanners como Trivy, Grype ou Clair conseguem analisar 100 % do conteúdo, eliminando pontos cegos.
* **Compatibilidade com LXD/LXC** – As imagens OCI mínimas podem ser importadas diretamente como imagens LXD, facilitando a padronização entre Docker e LXD.

Como criar imagens OCI mínimas no Ubuntu

Código Selecionar Expandir

# 1. Instale as ferramentas necessárias
sudo apt update && sudo apt install -y ubuntu-oci-tools debootstrap

# 2. Crie um diretório de trabalho
mkdir -p ~/oci-base && cd ~/oci-base

# 3. Use debootstrap para gerar um rootfs mínimo (ex.: Ubuntu 24.04 "noble")
sudo debootstrap --variant=minbase noble ./rootfs http://archive.ubuntu.com/ubuntu/

# 4. Remova pacotes desnecessários (ex.: docs, manpages, locales)
sudo chroot ./rootfs apt-get purge -y \\
    man-db gettext-base locales && \\
    apt-get clean && rm -rf /var/lib/apt/lists/*

# 5. Instale apenas runtime necessário (ex.: ca-certificates, libssl3)
sudo chroot ./rootfs apt-get install -y ca-certificates libssl3

# 6. Crie a imagem OCI usando o ubuntu-oci-tools
sudo oci-image-tool build -t myorg/ubuntu-minimal:24.04 ./rootfs

# 7. Teste a imagem localmente
docker run --rm -it myorg/ubuntu-minimal:24.04 bash -c "uname -a && cat /etc/os-release"
O comando `oci-image-tool` gera um tarball compatível com Docker, Podman e LXD. Para LXD, basta registrar a imagem:

Código Selecionar Expandir

lxc image import myorg_ubuntu-minimal_24.04.tar.gz --alias ubuntu-minimal

Dicas de segurança e mitigação de CVE
1. **Bloqueie versões de pacotes críticos** – Use `apt-mark hold` dentro do rootfs para impedir upgrades inesperados que possam introduzir novas vulnerabilidades.
2. **Assinatura de imagens** – Utilize `cosign` para assinar a imagem OCI antes de enviá‑la ao registro interno.
3. **Scanning automatizado** – Integre Trivy no pipeline CI:

Código Selecionar Expandir

trivy image myorg/ubuntu-minimal:24.04 --severity HIGH,CRITICAL
4. **Atualizações de segurança** – Crie um job cron que reconstrua a imagem semanalmente a partir de um repositório de segurança (ex.: `security.ubuntu.com`).

Conclusão – estabilidade em produção
A estratégia de "cortar o inchaço, não as funcionalidades" alinha-se perfeitamente com as demandas corporativas de entrega contínua: menor tempo de deploy, menor custo de storage e, sobretudo, uma superfície de ataque reduzida que simplifica a gestão de vulnerabilidades. Para sysadmins, a adoção das imagens OCI mínimas do Ubuntu significa menos ruído nos relatórios de CVE, maior previsibilidade de patches e uma base sólida para ambientes híbridos que combinam Docker e LXD. Ao integrar as ferramentas `ubuntu-oci-tools`, `debootstrap` e práticas de assinatura, garantimos que a estabilidade da produção não seja comprometida, ao mesmo tempo em que maximizamos a eficiência operacional.