Entrega Ágil de Containers com Imagens OCI Minimalistas no Ubuntu – Guia Técnico para Sysadmins

Introdução
A recente iniciativa "Cut bloat, not features" traz ao Ubuntu um conjunto de melhorias focadas na geração de imagens OCI (Open Container Initiative) menores, porém completas em funcionalidades. Para ISVs e equipes de DevOps, a proposta resolve um dilema antigo: reduzir o tamanho das imagens sem sacrificar a visibilidade de segurança. Em ambientes de produção – VPS, nuvens públicas ou privadas – a diferença entre uma imagem de 1 GB e outra de 300 MB impacta diretamente no tempo de deploy, consumo de banda e, sobretudo, na superfície de ataque. Este artigo detalha as mudanças, demonstra como aplicar as novas práticas no dia‑a‑dia de um administrador de sistemas e oferece dicas concretas para manter a estabilidade e a segurança do kernel em containers Docker e LXD.

O que há de novo no Ubuntu?
A Canonical introduziu um novo fluxo de construção de imagens baseadas no Ubuntu 24.04 LTS, que utiliza o mecanismo "ubuntu-minimal-oci". As principais novidades são:
- **Camada de pacotes enxuta**: apenas os componentes essenciais (glibc, libssl, busybox) são incluídos; tudo o que não for requerido explicitamente é excluído.
- **Metadados de segurança aprimorados**: cada camada contém um manifesto de CVE que permite que scanners como Trivy, Grype ou Snyk correlacionem vulnerabilidades com precisão, reduzindo o ruído de falsos positivos.
- **Integração com Ubuntu Pro**: imagens geradas recebem automaticamente o token de assinatura Ubuntu Pro, garantindo atualizações de longo prazo (LTS) e correções de kernel sem custo adicional.
- **Suporte nativo ao OCI Image Specification 1.2**, facilitando a interoperabilidade entre Docker, Podman, cri‑o e LXD.

Impacto prático para Sysadmins
1. **Redução de tempo de pull e start-up** – Imagens menores são transferidas 2‑3× mais rápido, reduzindo a latência de escalonamento automático em clusters Kubernetes ou em ambientes de CI/CD.
2. **Menor superfície de ataque** – Cada pacote removido elimina potenciais vetores de exploração. Em conjunto com o manifesto de CVE, o scanner pode focar nas vulnerabilidades reais.
3. **Consistência entre Docker e LXD** – A mesma imagem OCI pode ser usada tanto por Docker quanto por LXD, simplificando a gestão de múltiplos runtimes.
4. **Visibilidade de patches do kernel** – O kernel da imagem base permanece em modo "unprivileged" por padrão, mas pode ser atualizado via snap‑refresh ou apt‑upgrade sem reiniciar o host, mantendo a estabilidade.

Como criar imagens OCI mínimas
A seguir, um passo‑a‑passo prático usando o utilitário `ubuntu-image` (disponível nos repositórios oficiais).

Código Selecionar Expandir

bash
# 1. Instalar o pacote de construção de imagens
sudo apt update && sudo apt install -y ubuntu-image

# 2. Definir um manifesto minimalista (minimal.yaml)
cat > minimal.yaml <<'EOF'
architecture: amd64
release: jammy
base: core20
packages:
  - ca-certificates
  - libssl3
  - tzdata
  - busybox-static
EOF

# 3. Construir a imagem OCI
ubuntu-image build minimal.yaml --output ubuntu-minimal-oci.tar

# 4. Importar para Docker ou LXD
# Docker
docker import ubuntu-minimal-oci.tar ubuntu:minimal
# LXD
lxc image import ubuntu-minimal-oci.tar --alias ubuntu-minimal
EOF
Com a imagem pronta, basta referenciá‑la nos `Dockerfile` ou nos perfis LXD:

Código Selecionar Expandir

bash
# Dockerfile enxuto
FROM ubuntu:minimal
RUN apt-get update && apt-get install -y curl && rm -rf /var/lib/apt/lists/*
CMD ["/usr/bin/curl", "https://example.com"]

Integração com scanners de vulnerabilidade
Para evitar o temido "CVE noise", use o manifesto embutido. Exemplo com Trivy:

Código Selecionar Expandir

bash
trivy image --scanners vuln,config ubuntu:minimal

O resultado inclui o ID da camada e o número da CVE, permitindo filtrar rapidamente vulnerabilidades que realmente afetam o seu runtime. Caso um scanner tradicional ignore camadas ausentes, o manifesto garante que o alerta seja emitido, evitando "blind spots".

Boas práticas de segurança do kernel
- **Habilite o AppArmor** nas imagens: o Ubuntu já inclui perfis padrão, mas é recomendável reforçar com `aa-enforce /etc/apparmor.d/*`.
- **Mantenha o kernel host atualizado**: use `sudo apt install ubuntu-advantage-tools && sudo ua attach ` para habilitar atualizações automáticas do kernel via Ubuntu Pro.
- **Desative módulos desnecessários**: ao iniciar o container, passe `--security-opt=no-new-privileges` e `--cap-drop=ALL` para reduzir privilégios.
- **Audite syscalls** com `auditd` dentro do container, exportando logs para o host via volume compartilhado.

Conclusão
A estratégia "Cut bloat, not features" do Ubuntu entrega uma solução robusta para quem busca agilidade na entrega de software sem abrir mão da segurança. Imagens OCI minimalistas reduzem custos de banda, aceleram o time‑to‑market e, graças aos manifestos de CVE, permitem que os scanners façam seu trabalho de forma mais inteligente. Para os sysadmins, a adoção dessas imagens significa menos manutenção de dependências obsoletas, maior previsibilidade nas atualizações de kernel e uma base estável para workloads críticos em VPS, nuvens públicas ou privadas. Ao integrar as práticas descritas – construção automatizada, verificação de vulnerabilidades e endurecimento de kernel – você garante que a entrega contínua continue sendo um diferencial competitivo, sem comprometer a confiabilidade da infraestrutura.