Introdução
A recente iniciativa "Cut bloat, not features" anunciada pela Canonical traz ao ecossistema Ubuntu um conjunto de aprimoramentos focados em imagens OCI (Open Container Initiative) mais enxutas, sem sacrificar a visibilidade de segurança. Para ISVs (Independent Software Vendors) e equipes DevOps, a proposta resolve o clássico dilema entre tamanho da imagem e cobertura de vulnerabilidades: imagens menores reduzem o tempo de download e a superfície de ataque, enquanto scanners de segurança mantêm a precisão, evitando ruído de CVEs falsos positivos ou falsos negativos.

O que há de novo no Ubuntu?
- **Base minimalista oficial**: a Canonical lançou um novo conjunto de pacotes base (ubuntu-base) otimizado para containers, removendo dependências redundantes e adotando bibliotecas compartilhadas de tamanho reduzido.
- **Meta‑pacotes de segurança**: agora, cada camada de imagem inclui metadados de CVE que permitem aos scanners identificar vulnerabilidades de forma granular, mesmo em bibliotecas estáticas.
- **Ferramentas de construção aprimoradas**: o `ubuntu-devtool` foi atualizado para gerar automaticamente Dockerfiles com instruções `--squash` e `--compress`, reduzindo o número de camadas.
- **Integração com `snapcraft` e `lxd`**: o novo fluxo permite transformar snaps em imagens OCI compactas, facilitando a migração de workloads tradicionais para containers.

Impacto prático para Sysadmins
A adoção dessas melhorias afeta diretamente a operação de servidores de produção, sejam VPS, instâncias em nuvem pública ou privadas, e tem implicações importantes na segurança do kernel e na administração de containers.

1. Redução de tempo de provisionamento
Com imagens que podem chegar a 30‑40 % menores que as versões anteriores, o download de imagens base para novos nós LXD ou clusters Kubernetes diminui consideravelmente. Em ambientes de auto‑escalamento, isso se traduz em menos latência na criação de pods.

Exemplo de comando para baixar a nova imagem mínima:
sudo lxc image copy ubuntu:22.04/amd64 local: --alias ubuntu-minimal

2. Menor superfície de ataque
Ao eliminar pacotes desnecessários (ex.: `man-db`, `apt-utils`), o número de CVEs potencialmente exploráveis cai. Além disso, os metadados de segurança incorporados permitem que ferramentas como `Trivy`, `Clair` ou `Anchore` façam varredura profunda sem gerar ruído.

Comando de varredura usando Trivy:
trivy image ubuntu-minimal:22.04 --severity HIGH,CRITICAL

O output será mais conciso, listando apenas vulnerabilidades reais nas bibliotecas presentes.

3. Compatibilidade com kernels customizados
Para servidores que rodam kernels de hardening (ex.: `grsecurity`, `linux-hardened`), a diminuição de módulos carregados por padrão reduz a necessidade de aplicar patches de mitigação em tempo de execução. O sysadmin pode validar a compatibilidade usando `modprobe -n -v` para listar módulos que seriam carregados pela imagem.

modprobe -n -v $(docker run --rm ubuntu-minimal:22.04 lsmod | awk '{print $1}')

4. Estratégia de CI/CD mais enxuta
Nos pipelines GitLab ou GitHub Actions, a fase de build pode usar a flag `--squash` do Docker para combinar camadas e `--compress` para gzip da camada final. O resultado é um artefato menor que ocupa menos espaço em registries como Docker Hub ou GitHub Packages, reduzindo custos de armazenamento.

docker build -t myapp:latest . \\
    --squash --compress

5. Integração com snaps – caminho híbrido
A Canonical permite converter snaps em OCI images usando `snapcraft export-image`. Isso abre a possibilidade de reutilizar aplicativos já empacotados como snaps dentro de containers, mantendo as atualizações automáticas e a sandboxing do snap.

snapcraft export-image myapp.snap --target=oci --output=myapp-oci.tar.gz

Conclusão
A proposta "Cut bloat, not features" representa um avanço significativo para ambientes corporativos que dependem de containers Ubuntu. Ao oferecer imagens OCI minimalistas com metadados de segurança integrados, a Canonical ajuda a equilibrar desempenho, custo e compliance. Para sysadmins, isso significa menos tempo gasto em otimizações manuais, maior rapidez na entrega de workloads e um panorama de vulnerabilidades mais claro e acionável. A adoção precoce dessas imagens, aliada a boas práticas de CI/CD e scanners de segurança atualizados, garante uma infraestrutura de produção estável, segura e preparada para escalar.