Entrega Ágil e Segura de Containers com Imagens OCI Minimalistas no Ubuntu

Introdução

A recente iniciativa da Canonical, anunciada sob o slogan "Cut bloat, not features", traz ao Ubuntu um novo conjunto de recursos focados em gerar imagens OCI (Open Container Initiative) enxutas sem sacrificar funcionalidades essenciais. Para ISVs e equipes de DevOps, a proposta resolve um dilema antigo: manter o tamanho das imagens baixo para acelerar a entrega e, ao mesmo tempo, garantir visibilidade total das vulnerabilidades (CVE) e compatibilidade com scanners de segurança.

Este artigo detalha as implicações práticas dessa mudança para ambientes de produção – VPS, nuvem pública e privada – e para a administração de containers Docker e LXD. Também são apresentadas dicas de configuração, comandos úteis e recomendações de segurança do kernel, tudo com o tom de um engenheiro de sistemas experiente.

O que há de novo no Ubuntu?

- **Imagens base minimalistas**: a Canonical introduziu o meta‑pacote `ubuntu-minimal-oci` que, ao ser incluído em um Dockerfile ou em um `lxc` profile, remove dependências redundantes (por exemplo, manpages, documentação e utilitários de depuração) mantendo apenas o `glibc`, `libssl` e o `systemd` essenciais.
- **Camada de metadados de segurança**: as novas imagens trazem um manifesto `SBOM` (Software Bill of Materials) incorporado, facilitando a correlação automática com bases de dados de vulnerabilidades (e.g., CVE‑Tracker, NVD).
- **Integração com `snapd` e `cosign`**: a assinatura de imagens passa a ser feita por padrão com a cadeia de confiança do Ubuntu, permitindo que scanners verifiquem a integridade antes do pull.
- **Suporte a `docker buildx` e `podman`**: a construção multi‑plataforma agora pode gerar variantes `amd64`, `arm64` e `s390x` a partir da mesma Dockerfile sem a necessidade de camadas extras.

Impacto prático para Sysadmins

1. **Redução do tempo de download e start‑up**
   - Imagens que antes tinham ~300 MB podem agora ficar entre 120 MB e 150 MB, resultando em até 40 % de economia de banda em ambientes de escala horizontal.
2. **Menor ruído de CVE**
   - Ferramentas como `trivy`, `clamav` e `grype` reportam menos falsos‑positivos, já que pacotes supérfluos (ex.: `apt-doc`, `info`) foram removidos.
3. **Melhor compatibilidade com scanners de compliance**
   - O manifesto SBOM embutido permite que o `OpenSCAP` e o `Anchore` consumam a lista de componentes sem precisar de varredura heurística.
4. **Facilidade de atualização de kernel**
   - As imagens minimalistas evitam a inclusão de módulos kernel desnecessários, reduzindo a superfície de ataque e simplificando a aplicação de patches via `unattended-upgrades`.

Estratégias para reduzir o inchaço das imagens

Código Selecionar Expandir

# Exemplo de Dockerfile usando a nova imagem base
FROM ubuntu:24.04-minimal-oci AS base
LABEL org.opencontainers.image.source="https://github.com/empresa/app"

# Instala apenas o runtime necessário
RUN apt-get update && \\
    apt-get install -y --no-install-recommends \\
        ca-certificates \\
        libssl3 \\
        tini && \\
    rm -rf /var/lib/apt/lists/*

# Copia a aplicação compilada
COPY bin/app /usr/local/bin/app

ENTRYPOINT ["/usr/bin/tini", "--", "/usr/local/bin/app"]

Alguns pontos críticos:
- Use a flag `--no-install-recommends` para evitar dependências implícitas.
- Limpe o cache do `apt` imediatamente após a instalação.
- Prefira `tini` ou `dumb-init` para gerenciamento de PID 1, evitando a necessidade de utilitários adicionais.

Integração com ferramentas de scanning e assinatura

1. **Assinatura automática com `cosign`**
   ```bash
   cosign sign -key $COSIGN_KEY $(docker images -q myapp:latest)
   ```
2. **Verificação de SBOM com `syft`**
   ```bash
   syft myapp:latest -o json > sbom.json
   ```
3. **Varredura de vulnerabilidades com `trivy`**
   ```bash
   trivy image --scanners vuln,secret myapp:latest
   ```
   O output será muito mais enxuto, pois os pacotes não‑essenciais foram removidos.

Considerações de segurança do kernel

Embora as imagens OCI não contenham o kernel propriamente dito, a redução de módulos e bibliotecas auxiliares diminui a chance de exploits baseados em bibliotecas legadas (ex.: `libcurl` vulnerável). Recomenda‑se habilitar as seguintes opções no host:
- `kernel.unprivileged_userns_clone=1` para permitir namespaces de usuário em containers.
- `fs.protected_regular=1` e `fs.protected_fifos=1` para evitar acesso não autorizado a arquivos especiais.
- `apparmor` ou `selinux` em modo `enforcing` com perfis específicos para containers minimalistas.

Conclusão – foco em estabilidade e performance

A estratégia "Cut bloat, not features" representa mais que um ajuste de tamanho: é um passo decisivo rumo a entregas de software mais rápidas, seguras e previsíveis. Para sysadmins, a adoção das imagens OCI minimalistas do Ubuntu traz ganhos tangíveis em latência de implantação, redução de custos de banda e clareza nas auditorias de segurança. Ao combinar essas imagens com práticas consolidadas – assinatura com `cosign`, SBOMs integrados e políticas de kernel reforçadas – os ambientes de produção (VPS, cloud pública ou privada) podem manter a estabilidade esperada pelos clientes corporativos enquanto acompanham a cadência acelerada dos pipelines CI/CD.

A recomendação final é iniciar testes em ambientes de staging, validar a compatibilidade dos workloads críticos e, progressivamente, migrar workloads de produção para as novas imagens minimalistas. Assim, a organização garante a continuidade operacional sem surpresas, aproveitando ao máximo a inovação trazida pela Canonical.