Reduza o Inchaço, Não as Funcionalidades: Imagens OCI Minimalistas no Ubuntu para ISVs

Saudações, comunidade do **webmastersmz.com**. Como especialista em tecnologia, analisei as recentes movimentações em torno do **AlmaLinux 10.3 Beta** e trago aqui uma visão técnica sobre o que esta versão representa para os nossos ambientes de produção.

### Análise Técnica: AlmaLinux 10.3 Beta

O AlmaLinux continua a consolidar-se como a alternativa de eleição pós-CentOS, mantendo uma compatibilidade binária rigorosa com o RHEL (Red Hat Enterprise Linux). A chegada da versão 10.3 Beta traz pontos cruciais para os administradores de sistemas em Moçambique:

1.  **Estabilidade e Ciclo de Vida:** Com a série 10, o foco recai sobre a robustez exigida por ambientes empresariais. O facto de ser uma versão Beta permite que testemos as novas funcionalidades do kernel e as atualizações de *toolchains* (como GCC, glibc, entre outros) antes da implementação em larga escala.
2.  **Segurança e Conformidade:** O AlmaLinux 10 introduz melhorias significativas nas políticas de SELinux e pacotes de encriptação atualizados, garantindo que os servidores estejam em conformidade com as exigências de segurança modernas, algo crítico para instituições financeiras e plataformas de e-commerce que operam localmente.
3.  **Modernização do ecossistema:** A transição para versões mais recentes de linguagens de programação e bases de dados (como MariaDB/PostgreSQL atualizados) facilita a gestão de aplicações web complexas, reduzindo a dívida técnica nos vossos servidores.

**O meu convite ao debate:**
Para vocês, que gerem infraestruturas críticas aqui em Moçambique, a transição para a série 10 traz desafios ou oportunidades? Estão a planear migrar os vossos ambientes de teste nos próximos meses ou preferem aguardar pela versão "General Availability" (GA)? Gostaria de saber que dificuldades têm encontrado com as versões anteriores ou se já começaram a explorar as melhorias de performance desta nova Beta. Partilhem as vossas experiências abaixo!

***

Para garantir que os vossos projetos e fóruns rodam sem falhas, com a estabilidade e a velocidade que os utilizadores moçambicanos merecem, convido-vos a conhecer as soluções de alojamento de alta performance da **AplicHost** em [https://aplichost.com](https://aplichost.com).

Introdução

No cenário corporativo atual, Independent Software Vendors (ISVs) enfrentam um dilema clássico: entregar containers leves e, ao mesmo tempo, garantir visibilidade total das vulnerabilidades. A recente iniciativa da Canonical, intitulada "Cut bloat, not features", traz ao Ubuntu um conjunto de ferramentas e práticas que permitem gerar imagens OCI (Open Container Initiative) minimalistas sem sacrificar a rastreabilidade de CVEs. Este artigo detalha os impactos práticos dessa novidade para servidores de produção – VPS, cloud, ambientes on‑prem – e oferece um guia passo‑a‑passo para sysadmins que desejam adotar a estratégia de "menos é mais" em suas pipelines de entrega.

O que há de novo no Ubuntu?

A Canonical introduziu três componentes-chave:
1. **Ubuntu Minimal Base Image (UBMI)** – uma imagem base oficial com apenas os pacotes essenciais do runtime, reduzindo o tamanho típico de 150 MB para cerca de 30 MB.
2. **toolchain de "squash & prune"** – integração nativa com `docker build --squash` e o utilitário `ubuntu‑prune`, que remove arquivos de documentação, locales e dependências de desenvolvimento automaticamente.
3. **Metadados de segurança aprimorados** – a imagem inclui um manifesto de SBOM (Software Bill of Materials) compatível com SPDX, permitindo que scanners como Trivy, Grype ou Clair correlacionem vulnerabilidades com precisão, eliminando o "ruído" de CVEs em pacotes que não são realmente utilizados.

Essas mudanças são distribuídas via o repositório oficial `ubuntu-minimal` e podem ser consumidas tanto por Docker quanto por LXD, facilitando a adoção em ambientes híbridos.

Impacto prático para Sysadmins

* **Redução de superfície de ataque:** Menos pacotes significa menos vetores de exploração no kernel e nas bibliotecas de usuário. Em servidores de produção, isso se traduz em menor tempo de patching e menos interrupções.
* **Economia de largura de banda e armazenamento:** Imagens de 30 MB baixam em segundos, ideal para VPS com limites de tráfego ou clusters Kubernetes que replicam imagens em múltiplos nós.
* **Visibilidade de vulnerabilidades aprimorada:** O SBOM embutido permite que ferramentas de CI/CD identifiquem exatamente quais componentes estão presentes, evitando falsos positivos que antes sobrecarregavam as equipes de segurança.
* **Compatibilidade com políticas de compliance:** O manifesto SPDX pode ser consumido por soluções como OpenSCAP, facilitando auditorias de conformidade (PCI‑DSS, GDPR, etc.).

Como criar imagens OCI minimalistas

Segue um exemplo prático usando Dockerfile:

```
# Etapa 1 – Base mínima oficial
FROM ubuntu:minimal:22.04 AS base

# Etapa 2 – Instalação de runtime apenas
RUN apt-get update && \\
    DEBIAN_FRONTEND=noninteractive apt-get install -y --no-install-recommends \\
        ca-certificates \\
        libssl3 \\
        tzdata && \\
    rm -rf /var/lib/apt/lists/* && \\
    ubuntu-prune --remove-docs --remove-locales

# Etapa 3 – Copiar aplicação
COPY myapp /opt/myapp

# Etapa 4 – Definir entrypoint
ENTRYPOINT ["/opt/myapp/start.sh"]
```

Comandos úteis:
- `ubuntu-prune --remove-docs --remove-locales` – elimina documentação e arquivos de localização que inflam o tamanho.
- `docker build --squash -t myapp:slim .` – compacta todas as camadas em uma única camada, reduzindo ainda mais o overhead.
- `skopeo copy docker://myapp:slim oci:/var/lib/oci/myapp:latest` – converte para formato OCI puro, pronto para ser consumido por runtimes como `cri-o`.

Integração com scanners de vulnerabilidade

A presença do SBOM permite que o pipeline de CI execute:

```
trivy image --format json --output sbom.json myapp:slim
cosign verify-blob --key cosign.pub sbom.json
```

O `trivy` lê o manifesto SPDX e correlaciona vulnerabilidades apenas nos pacotes efetivamente presentes. Caso algum CVE seja reportado para um pacote que foi removido pelo `ubuntu-prune`, ele será filtrado, reduzindo drasticamente o "ruído".

Boas práticas de segurança do kernel

Mesmo com imagens minimalistas, o kernel do host continua sendo o ponto de maior exposição. Recomenda‑se:
1. **Habilitar AppArmor ou SELinux** com perfis restritivos para containers (`docker run --security-opt apparmor=profile_name`).
2. **Aplicar sysctl hardening** – por exemplo, `sysctl -w kernel.unprivileged_userns_clone=0` para impedir namespaces de usuário não autorizados.
3. **Manter o kernel atualizado** – use o `unattended-upgrades` configurado para aplicar apenas patches de segurança críticos, reduzindo a janela de vulnerabilidade.

Conclusão – estabilidade e performance

A estratégia "Cut bloat, not features" traz ao Ubuntu uma abordagem pragmática que alia imagens OCI ultra‑leves a uma visibilidade de segurança granular. Para sysadmins, isso significa menos tempo gasto em auditorias de CVE, menor consumo de recursos em ambientes de nuvem e, sobretudo, maior confiança na estabilidade dos serviços em produção. Ao adotar a UBMI, a cadeia de ferramentas `ubuntu‑prune`, e integrar SBOMs nos pipelines de CI/CD, as organizações podem acelerar a entrega de software sem abrir mão da robustez que o kernel Linux e o ecossistema Ubuntu já oferecem.