Entrega de Containers Ubuntu: Reduzindo Bloat sem Perder Funcionalidades

Introdução
A nova iniciativa "Cut bloat, not features" traz ao Ubuntu um conjunto de aprimoramentos focados em imagens OCI (Open Container Initiative) menores e mais seguras. Para ISVs (Independent Software Vendors) e equipes de DevOps, a proposta resolve o clássico dilema entre tamanho da imagem e visibilidade de vulnerabilidades. Imagens enxutas reduzem o tempo de download, o consumo de armazenamento e, sobretudo, o ruído de CVEs (Common Vulnerabilities and Exposures) que costuma sobrecarregar scanners de segurança.

O que há de novo no Ubuntu?
- **Base minimalista oficial**: o Ubuntu agora oferece metapacotes "ubuntu-base-minimal" que excluem componentes de desenvolvimento e documentação que raramente são necessários em produção.
- **Camadas de segurança aprimoradas**: integração direta com o Ubuntu Security Tracker, permitindo que vulnerabilidades conhecidas sejam marcadas nas camadas da imagem, evitando "blind spots" dos scanners.
- **Ferramentas de compressão avançada**: suporte nativo ao `zstd` nas camadas de imagem, reduzindo o tamanho final em até 30% comparado ao `gzip` tradicional.
- **Suporte aprimorado ao LXD e Docker**: os runtimes reconhecem automaticamente a flag `ubuntu.minimal=true` e ajustam o perfil AppArmor para reduzir a superfície de ataque.

Impacto prático para Sysadmins
1. **VPS e Cloud** – Em ambientes de nuvem, a redução de 200 MB a 150 MB por imagem pode significar economias de dezenas de dólares mensais em transferência de dados e armazenamento SSD.
2. **Segurança do Kernel** – Menos pacotes instalados significam menos módulos carregados e menos pontos de entrada para exploits. O kernel recebe apenas os módulos essenciais, facilitando a aplicação de patches críticos.
3. **Containers (Docker/LXD)** – Imagens menores iniciam mais rápido, o que reduz o tempo de escalonamento automático em orquestradores como Kubernetes. Além disso, a visibilidade de CVEs melhora, pois o scanner foca em menos componentes.
4. **Administração de sistemas** – O ciclo de atualização torna‑se mais previsível. Menos dependências reduzem conflitos de pacotes ao aplicar `apt upgrade` em hosts que rodam múltiplas imagens.

Dicas de implementação e comandos
Para começar a usar as novas imagens minimalistas, siga os passos abaixo:

1. **Instale o metapacote minimalista**
```bash
sudo apt update && sudo apt install ubuntu-base-minimal
```
2. **Crie uma imagem Docker a partir da base minimalista**
```Dockerfile
FROM ubuntu:22.04-minimal
LABEL ubuntu.minimal="true"
# Instale apenas runtime necessário
RUN apt-get update && apt-get install -y --no-install-recommends \\
    ca-certificates curl && rm -rf /var/lib/apt/lists/*
```
3. **Construa a imagem com compressão ZSTD**
```bash
DOCKER_BUILDKIT=1 docker build --output=type=oci,compression=zstd . -t minha-app:minimal
```
4. **Verifique a camada de vulnerabilidades**
```bash
trivy image minha-app:minimal --severity HIGH,CRITICAL
```
5. **Ajuste o perfil AppArmor para o LXD**
```bash
lxc profile edit default
# Adicione a linha abaixo ao bloco "security.nesting"
security.nesting=true
security.privileged=true
```

Considerações de segurança do Kernel
- **Módulos desnecessários**: após gerar a imagem, execute `lsmod` dentro do container para confirmar que apenas `overlay`, `nf_conntrack` e `br_netfilter` estão carregados.
- **Hardening de sysctl**: inclua no Dockerfile ou no perfil LXD as chaves recomendadas pelo Ubuntu CIS Benchmark, por exemplo:
```bash
RUN echo "net.ipv4.ip_forward=0" >> /etc/sysctl.d/99-custom.conf && \\
    echo "kernel.kptr_restrict=2" >> /etc/sysctl.d/99-custom.conf
```
- **Atualizações automáticas**: habilite o `unattended-upgrades` dentro da imagem para garantir que patches de kernel críticos sejam aplicados imediatamente.

Conclusão
A estratégia "Cut bloat, not features" traz ao Ubuntu uma abordagem pragmática que alia redução de tamanho de imagens OCI à manutenção da visibilidade de vulnerabilidades. Para administradores de sistemas, isso se traduz em ambientes de produção mais leves, custos operacionais menores e, sobretudo, em uma superfície de ataque reduzida. Ao adotar as imagens minimalistas, integrar compressão ZSTD e ajustar perfis de segurança, os profissionais de DevOps conseguem acelerar a entrega de software sem comprometer a estabilidade que os clientes corporativos esperam.