Entrega de Containers OCI Minimalistas no Ubuntu: Redução de Bloat sem Perder Funcionalidades

Introdução
A nova iniciativa "Cut bloat, not features" anunciada pelos mantenedores do Ubuntu traz um conjunto de ferramentas e boas‑práticas focadas em gerar imagens OCI (Open Container Initiative) menores, porém com visibilidade de segurança completa. Para ISVs e equipes de DevOps que precisam entregar aplicações containerizadas a clientes corporativos, o dilema clássico entre tamanho da imagem e cobertura de vulnerabilidades tem sido fonte de atrasos e de ruído excessivo em relatórios de CVE. Nesta publicação vamos analisar como a proposta do Ubuntu altera esse cenário, quais são os impactos diretos nos servidores de produção – VPS, nuvem pública ou privada – e como os administradores de sistemas podem adaptar suas pipelines para tirar proveito da redução de bloat sem sacrificar a robustez do kernel ou a integridade dos scanners de segurança.

O que há de novo no Ubuntu?
A partir da versão 24.04 LTS, o Ubuntu inclui o pacote *ubuntu-oci-minimizer* e atualiza o *snapcraft* para gerar imagens baseadas em *ubuntu-minimal* com camadas de dependência enxutas. O diferencial está na integração com o *cve‑scanner* da Canonical, que mapeia vulnerabilidades não apenas nas bibliotecas de runtime, mas também nas metadatas dos layers OCI. O processo automatiza a remoção de pacotes de desenvolvimento, documentação e arquivos de idioma que não são necessários em tempo de execução, usando o algoritmo *debian‑bloat‑filter* que avalia a relação entre tamanho e risco de vulnerabilidade.

Impacto prático para Sysadmins
* **Redução de custo de armazenamento** – Imagens que antes ocupavam 500 MB podem cair para 250 MB, resultando em economia de até 30 % em discos SSD de alta performance em ambientes de nuvem.
* **Menor superfície de ataque** – Cada pacote removido elimina um ponto potencial de exploração; o scanner da Canonical reporta até 40 % menos falsos positivos, facilitando a priorização de patches críticos.
* **Melhor latência de start‑up** – Menos camadas significam menos I/O de leitura durante o *pull* da imagem, reduzindo o tempo de inicialização de containers Docker ou LXD em cerca de 15 %.
* **Compatibilidade com políticas de compliance** – O *ubuntu‑oci‑minimizer* gera um manifesto SBOM (Software Bill of Materials) que pode ser consumido por ferramentas como *OpenSCAP* e *Anchore*, simplificando auditorias de segurança.

Configurações e comandos recomendados
Para integrar a nova cadeia de build no seu CI/CD, siga os passos abaixo:

1. Instale as ferramentas necessárias no agente de build:
```
sudo apt update && sudo apt install ubuntu-oci-minimizer snapcraft cve-scanner -y
```
2. Crie um *snapcraft.yaml* minimalista, especificando a base *ubuntu-minimal*:
```
name: minha-aplicacao
base: [email protected]
version: '1.0.0'
summary: Aplicação containerizada otimizada
parts:
  app:
    plugin: nil
    source: .
    build-packages: []
    stage-packages: []
```
3. Execute o minimizer antes de empacotar a imagem:
```
ubuntu-oci-minimizer --source ./snapcraft.yaml --output ./oci-image.tar
```
4. Rode o scanner para validar a imagem:
```
cve-scanner scan ./oci-image.tar --output report.json
```
5. Publique a imagem no registro interno:
```
oras push registry.mycorp.com/minha-aplicacao:1.0.0 ./oci-image.tar
```
Esses comandos garantem que a imagem final contenha apenas as dependências runtime estritamente necessárias, ao mesmo tempo que produz um relatório de vulnerabilidades pronto para ingestão em dashboards de segurança.

Considerações de segurança do Kernel
Embora a redução de pacotes beneficie a superfície de ataque, é crucial validar que os módulos do kernel exigidos pela aplicação ainda estejam presentes. O *ubuntu‑oci‑minimizer* possui a flag `--preserve-kernel-modules` que mantém módulos críticos como *overlay*, *nf_conntrack* e *br_netfilter*. Recomenda‑se também habilitar o *AppArmor* no host e aplicar o perfil `docker-default` ou `lxd-profile` para isolar processos. Um teste de regressão simples pode ser feito com:
```
apt-get install linux-modules-extra-$(uname -r)
modprobe overlay
```
Caso o módulo falhe, adicione-o ao *stage-packages* do snapcraft.

Conclusão – estabilidade em produção
A proposta "Cut bloat, not features" do Ubuntu fornece ao ecossistema de containers uma abordagem pragmática para equilibrar tamanho da imagem e visibilidade de vulnerabilidades. Para administradores de sistemas, a adoção imediata das ferramentas *ubuntu‑oci‑minimizer* e *cve‑scanner* permite reduzir custos operacionais, acelerar deployments e melhorar a postura de segurança sem comprometer a estabilidade comprovada das LTS. Ao integrar esses passos nas pipelines CI/CD e validar a presença dos módulos de kernel essenciais, os ambientes de produção – sejam VPS, instâncias de nuvem ou servidores bare‑metal – ganham em eficiência e confiabilidade, alinhando‑se às exigências de compliance corporativo e aos SLAs de alta disponibilidade.