Imagens OCI Minimalistas no Ubuntu: Redução de Bloat e Visibilidade de Vulnerabilidades para Sysadmins

Saudações, comunidade **webmastersmz.com**. Como especialista em tecnologia, analisei o tópico sobre **Imagens OCI Minimalistas no Ubuntu** e trago aqui uma reflexão técnica sobre por que esta é uma tendência que todos os administradores de sistemas devem acompanhar de perto.

### Análise Técnica: Por que migrar para imagens minimalistas?

O cerne da discussão reside no conceito de **"Redução de Superfície de Ataque"**. Imagens tradicionais de sistemas operativos (como as versões *full* do Ubuntu) trazem consigo dezenas de pacotes, utilitários e bibliotecas que, na grande maioria dos casos, nunca serão utilizados em um ambiente de produção baseado em contentores (containers).

Os pontos principais destacados no tópico são fundamentais:

1.  **Redução de *Bloat* (Inchaço):** Ao remover pacotes desnecessários, reduzimos drasticamente o peso da imagem (de centenas de MB para poucos MB). Isto traduz-se em *deployments* muito mais rápidos, menor consumo de largura de banda e otimização do armazenamento no *registry*.
2.  **Gestão de Vulnerabilidades:** Esta é a vantagem mais crítica. Quanto menos código (binários, shells, bibliotecas) estiver presente dentro do contentor, menos vulnerabilidades (CVEs) o vosso scanner de segurança irá detectar. O que não está instalado não pode ser explorado por atacantes.
3.  **Eficiência Operacional:** Menos dependências significam menos conflitos em tempo de execução e uma manutenção facilitada. Contudo, é importante notar que a abordagem minimalista exige uma maior disciplina do Sysadmin na configuração e na resolução de problemas (*debugging*), visto que ferramentas comuns de rede ou edição (como `curl`, `net-tools` ou `vim`) frequentemente não estão incluídas nestas imagens *distroless* ou minimalistas.

**Questão para debate:** Na vossa experiência profissional aqui em Moçambique, qual tem sido o maior desafio ao fazer a transição de imagens "pesadas" para alternativas como *Ubuntu Minimal* ou *Alpine*? Sentem que a segurança ganha compensa o esforço adicional na configuração dos vossos *pipelines* de CI/CD? Deixem as vossas opiniões nos comentários abaixo.

---

Para garantir que os vossos projetos e fóruns rodam sem falhas, convido-vos a conhecer as soluções de alojamento de alta performance da AplicHost em https://aplichost.com.

Introdução

O ecossistema Ubuntu acaba de anunciar uma iniciativa focada em "Cut bloat, not features", que traz ferramentas e práticas para gerar imagens OCI (Open Container Initiative) extremamente enxutas, sem sacrificar funcionalidades essenciais. Para ISVs e equipes de DevOps, isso representa uma resposta direta ao dilema entre tamanho da imagem e precisão na detecção de CVEs. Neste artigo, vamos analisar o que mudou, como aplicar as novidades em servidores de produção (VPS, Cloud) e quais os impactos na segurança do kernel e na administração de containers Docker/LXD.

O que há de novo no Ubuntu?

A Canonical introduziu um conjunto de pacotes e scripts que automatizam a criação de imagens base minimalistas, baseados no `ubuntu-minimal` e no `debootstrap`. Entre os destaques:

- **ubuntu-oci-minimal**: meta‑pacote que instala apenas componentes essenciais (glibc, libgcc, systemd, e um pequeno conjunto de bibliotecas de runtime).
- **ubuntu-image** aprimorado: permite gerar artefatos OCI a partir de um `manifest.yaml` contendo apenas os pacotes declarados.
- **snapcraft** agora inclui a flag `--minimal` para builds que desejam reduzir o tamanho da snap base.
- Integração nativa com scanners como **Trivy**, **Grype** e **Cosign**, facilitando a assinatura e a verificação de vulnerabilidades antes do push para registries.

Essas ferramentas são distribuídas nos repositórios oficiais a partir da versão 23.10, mas podem ser retro‑portadas para LTS 22.04 via PPAs.

Impacto prático para Sysadmins

1. **Redução de custos de armazenamento** – Imagens que antes ocupavam 300 MB podem cair para menos de 80 MB, diminuindo o uso de disco em registries privados e reduzindo o tempo de download em ambientes de CI/CD.
2. **Menor superfície de ataque** – Cada pacote removido elimina potenciais vetores de exploração no kernel e nas bibliotecas de usuário.
3. **Visibilidade de CVEs aprimorada** – Ao limitar a base a pacotes conhecidos, scanners têm menos "ruído" e conseguem apontar vulnerabilidades reais com maior precisão.
4. **Compatibilidade com LXD** – O LXD aceita diretamente imagens OCI; ao usar a nova base minimalista, a criação de containers LXC se torna mais rápida e segura.

Como criar imagens OCI mínimas no Ubuntu

Segue um passo‑a‑passo para gerar uma imagem Docker a partir do novo meta‑pacote:

```
# 1. Instalar as ferramentas necessárias
sudo apt update && sudo apt install -y ubuntu-oci-minimal ubuntu-image skopeo

# 2. Criar um diretório de trabalho
mkdir -p ~/oci-minimal && cd ~/oci-minimal

# 3. Gerar o rootfs usando debootstrap (já incluído no pacote)
sudo debootstrap --variant=minbase focal ./rootfs http://archive.ubuntu.com/ubuntu

# 4. Instalar apenas o meta‑pacote minimalista
chroot ./rootfs apt-get update
chroot ./rootfs apt-get install -y ubuntu-oci-minimal

# 5. Limpar caches para reduzir ainda mais o tamanho
chroot ./rootfs apt-get clean && rm -rf ./rootfs/var/lib/apt/lists/*

# 6. Criar a camada OCI com ubuntu-image
sudo ubuntu-image snap --manifest manifest.yaml --output myapp_oci.tar

# 7. Converter para Docker e testar
skopeo copy oci:myapp_oci docker-daemon:myapp:latest
docker run --rm -it myapp:latest /bin/bash
```

O `manifest.yaml` pode ser tão simples quanto:

```yaml
base: "ubuntu:22.04"
packages:
  - ubuntu-oci-minimal
  - ca-certificates
  - tzdata
```

Esse processo gera uma imagem de aproximadamente 70 MB, pronta para ser enviada ao registry com `docker push`.

Segurança e visibilidade de vulnerabilidades

Com a imagem mínima, a estratégia de scanning muda:

- **Trivy**: `trivy image myapp:latest --severity HIGH,CRITICAL` – o relatório será enxuto, contendo apenas vulnerabilidades nos poucos pacotes instalados.
- **Cosign**: `cosign sign --key cosign.key myapp:latest` – garante integridade e autoria, essencial em ambientes corporativos.
- **Kernel Hardening**: Ao usar a mesma versão do kernel do host (via `--privileged` ou `--pid=host`), a base minimalista reduz a necessidade de módulos adicionais, simplificando a aplicação de patches como `sysctl` e `apparmor`.

Além disso, a Canonical disponibiliza um **CVE Feed** específico para a imagem `ubuntu-oci-minimal`, permitindo que ferramentas como **Canonical Livepatch** recebam atualizações de segurança sem precisar reiniciar containers.

Conclusão – estabilidade e futuro

A proposta "Cut bloat, not features" traz ao Ubuntu um caminho sólido para a entrega de containers corporativos mais leves e seguros. Para sysadmins, isso significa menos tempo gasto em gerenciamento de armazenamento, menos ruído em scanners de vulnerabilidade e uma base de imagem que pode ser auditada e assinada com ferramentas padrão do mercado. Ao adotar as práticas descritas, você garante que seus ambientes VPS, Cloud ou on‑premises mantenham a estabilidade esperada de uma distribuição LTS, enquanto aproveita a agilidade dos pipelines CI/CD modernos.

A longo prazo, espera‑se que a Canonical expanda essa abordagem para imagens base de snaps e para o Ubuntu Core, reforçando ainda mais a postura de segurança em edge devices e infraestruturas de nuvem híbrida.