Entrega de Containers OCI Enxutos no Ubuntu: Redução de Bloat sem Perder Funcionalidades

Introdução

No cenário corporativo atual, Independent Software Vendors (ISVs) enfrentam um dilema clássico: entregar imagens de containers leves para acelerar a implantação, sem sacrificar a visibilidade de segurança. O Ubuntu, reconhecido por sua estabilidade e suporte de longo prazo, lançou recentemente recursos que permitem a criação de imagens OCI mínimas, reduzindo o "bloat" (peso desnecessário) enquanto mantêm o conjunto completo de funcionalidades necessárias ao runtime. Este artigo técnico explora as mudanças, demonstra como aplicá‑las em ambientes de produção (VPS, Cloud) e oferece recomendações práticas para administradores de sistemas que buscam equilibrar performance e segurança.

O que há de novo no Ubuntu?

A Canonical introduziu duas iniciativas-chave que chegam ao ecossistema Ubuntu 24.04 LTS e às versões de backport:

1. **Ubuntu Minimal Base Image (ubuntu-minimal)** – Uma imagem OCI oficial baseada em `ubuntu-base` que contém apenas o kernel, bibliotecas C essenciais e o gerenciador de pacotes `apt`. Todos os pacotes considerados "bloat" (ex.: `man`, `doc`, `locale` completo) são removidos.
2. **Ferramentas de Otimização de Camada (docker buildx + squash + syft)** – Integração nativa com o Docker BuildKit que permite "squash" de camadas e geração automática de SBOM (Software Bill of Materials) usando o `syft` da Anchore. O SBOM facilita a detecção de vulnerabilidades e elimina ruído de CVEs irrelevantes.

Essas adições são distribuídas via o repositório oficial `ubuntu-minimal` e podem ser consumidas tanto por Docker quanto por LXD, garantindo consistência entre diferentes runtimes.

Impacto prático para Sysadmins

## 1. Redução do tamanho das imagens

Ao substituir `ubuntu:22.04` por `ubuntu-minimal:24.04`, a camada base cai de ~80 MB para ~30 MB. Em ambientes de CI/CD com centenas de builds diários, isso representa economia de banda de até 60 % e aceleração de deploys em cerca de 30 %.

```bash
# Pull da imagem mínima
docker pull ghcr.io/ubuntu/minimal:24.04

# Exemplo de Dockerfile enxuto
FROM ghcr.io/ubuntu/minimal:24.04
RUN apt-get update && apt-get install -y \\
    ca-certificates curl && \\
    rm -rf /var/lib/apt/lists/*
COPY . /app
WORKDIR /app
CMD ["/app/start.sh"]
```

## 2. Visibilidade de vulnerabilidades aprimorada

Com a camada base reduzida, scanners como **Trivy**, **Clair** ou **Docker Scan** concentram‑se nos pacotes realmente presentes, diminuindo falsos positivos. Além disso, a geração automática de SBOM permite correlacionar vulnerabilidades com a lista de dependências exata.

```bash
# Gerar SBOM com syft e enviá‑lo ao servidor de compliance
syft ghcr.io/ubuntu/minimal:24.04 -o spdx-json > sbom.json
curl -X POST -H "Content-Type: application/json" \\
     -d @sbom.json https://compliance.example.com/api/upload
```

## 3. Hardening do kernel e políticas de segurança

A imagem mínima inclui apenas módulos do kernel necessários ao runtime, o que simplifica a aplicação de perfis AppArmor e seccomp. Em servidores de produção (VPS, Cloud), recomenda‑se habilitar as seguintes opções:

```bash
# Habilitar AppArmor em modo enforce para containers LXD
lxc config set core.apparmor_profile "unconfined"
# Aplicar perfil restritivo customizado
lxc profile edit default
```

```bash
# Docker: aplicar seccomp e no‑new‑privileges
docker run --security-opt=no-new-privileges \\
    --security-opt=seccomp=./seccomp-profile.json \\
    ghcr.io/ubuntu/minimal:24.04
```

## 4. Integração com LXD

O LXD já oferece imagens `ubuntu-minimal` via o canal `ubuntu:24.04`. Importar e lançar containers enxutos é trivial:

```bash
lxc image copy images:ubuntu/24.04/minimal local: --alias ubuntu-minimal
lxc launch ubuntu-minimal my‑container
```

A vantagem é a mesma do Docker: menos camadas, menos superfície de ataque e tempo de boot reduzido (≈2 s vs 5 s).

## 5. Estratégias de atualização sem downtime

Para ISVs que precisam garantir uptime, a combinação de imagens mínimas com **rolling updates** via `docker compose` ou `k3s` permite substituir pods individuais sem re‑instalar dependências volumosas.

```yaml
services:
  app:
    image: ghcr.io/ubuntu/minimal:24.04
    deploy:
      update_config:
        parallelism: 2
        delay: 10s
```

Conclusão – Estabilidade em primeiro lugar

A adoção de imagens OCI mínimas no Ubuntu não é apenas uma questão de economia de espaço; trata‑se de melhorar a **estabilidade operacional** ao reduzir a complexidade de gerenciamento de vulnerabilidades e acelerar ciclos de entrega. Para administradores de sistemas, a recomendação é iniciar projetos piloto substituindo imagens base padrão por `ubuntu-minimal`, integrar a geração automática de SBOM ao pipeline CI/CD e aplicar políticas de hardening consistentes entre Docker e LXD. Essa abordagem garante que os servidores de produção – seja em VPS, nuvem pública ou privada – mantenham a robustez característica do Ubuntu, ao mesmo tempo que entregam containers mais leves, seguros e fáceis de auditar.