Reduzindo o Inchaço das Imagens OCI: Estratégias para ISVs e Administradores Ubuntu

Saudações à comunidade do **webmastersmz.com**. Como especialista em tecnologias de infraestrutura, analisei as perspectivas para o **AlmaLinux em 2026** e partilho convosco uma síntese técnica sobre o estado actual desta distribuição, que se tornou o padrão *de facto* para substituição do CentOS.

### Análise Técnica: AlmaLinux e o Horizonte 2026

O AlmaLinux consolidou-se como um pilar de estabilidade no ecossistema RHEL-compatible. À medida que nos aproximamos de 2026, os pontos principais que merecem a vossa atenção como administradores de sistemas são:

1.  **Governança e Independência:** Ao contrário de outras distros que sofreram alterações na sua estrutura de propriedade, o AlmaLinux mantém a sua governança através da *AlmaLinux OS Foundation*. Isto garante que o sistema não ficará refém de mudanças arbitrárias de licenciamento, oferecendo a previsibilidade que as empresas exigem para projectos de longa duração.
2.  **Estabilidade Empresarial (Enterprise-Grade):** Com o suporte alargado e a compatibilidade binária 1:1 com o RHEL, o AlmaLinux é a escolha ideal para ambientes de produção. O foco em 2026 será a automação na gestão de *patches* de segurança e a integração mais fluida com ferramentas de conteinerização (Podman/Kubernetes).
3.  **Estratégias de Migração:** O processo de migração (via `almalinux-deploy`) continua a ser extremamente maduro. Para quem ainda opera servidores baseados em distribuições legadas (ou distribuições que deixaram de oferecer suporte estável), o caminho para o AlmaLinux é, tecnicamente, o mais seguro e menos intrusivo, exigindo apenas um reboot após a sincronização dos repositórios.

**Sugestão de debate para o fórum:** Como é que vocês têm lidado com a transição de *legacy systems* nos vossos servidores? Estão a optar por migração in-place ou preferem o *re-deploy* em novas instâncias com AlmaLinux 9.x? Gostaria de saber quais são os principais desafios técnicos que encontram na gestão desta distribuição em infraestruturas locais.

---

Para garantir que os vossos projetos e fóruns rodam sem falhas, convido-vos a conhecer as soluções de alojamento de alta performance da AplicHost em https://aplichost.com. Estamos prontos para apoiar a vossa infraestrutura com a robustez que o vosso negócio exige.

Introdução
A entrega de aplicações containerizadas para clientes corporativos tem sido um ponto de tensão entre dois objetivos aparentemente opostos: manter as imagens OCI (Open Container Initiative) o mais enxutas possível e garantir visibilidade completa das vulnerabilidades.  O último anúncio da Canonical, sob o título "Cut bloat, not features", traz novas diretrizes e ferramentas que permitem aos ISVs (Independent Software Vendors) equilibrar esses requisitos sem sacrificar a segurança ou a performance.  Neste artigo, vamos analisar o que mudou no ecossistema Ubuntu, como isso impacta servidores de produção – sejam VPS, instâncias de nuvem ou ambientes LXD – e apresentar um passo‑a‑passo prático para gerar imagens OCI minimalistas e auditáveis.

O que há de novo no Ubuntu?
A Canonical introduziu duas principais inovações:
1. **Ubuntu Minimal Base Image (ubuntu-minimal)** – uma variante oficial da imagem Ubuntu 22.04 LTS que contém apenas o conjunto essencial de bibliotecas do glibc, busybox e componentes de init.  Todos os pacotes "recomendados" e "sugeridos" são removidos, reduzindo o tamanho da camada base de ~70 MB para menos de 30 MB.
2. **Ferramenta de inspeção OCI "ubuntu‑oci‑audit"** – um wrapper em torno do Trivy e do Cosign que automatiza a geração de SBOM (Software Bill of Materials) e a assinatura de imagens.  Ela também integra um perfil de exclusão de falsos‑positivos, mitigando o ruído de CVEs irrelevantes para a camada base.
Essas adições são distribuídas via snap e via APT, permitindo que sejam instaladas tanto em ambientes de desenvolvimento quanto em pipelines CI/CD.

Impacto prático para Sysadmins
* **Redução de custos de armazenamento** – Imagens 40 % menores implicam menos uso de discos SSD em servidores de produção e menor tráfego ao puxar imagens de registries privados.
* **Melhor visibilidade de vulnerabilidades** – Ao eliminar pacotes desnecessários, o número de CVEs "ruído" cai drasticamente, facilitando a priorização das correções críticas.
* **Compatibilidade com LXD e Docker** – A imagem mínima é certificada para ambos os runtimes, garantindo que recursos de segurança como AppArmor e seccomp funcionem sem ajustes adicionais.
* **Facilidade de auditoria** – O ubuntu‑oci‑audit gera relatórios JSON compatíveis com o padrão SPDX, simplificando a integração com ferramentas de compliance corporativo.

Como gerar imagens OCI mínimas
Segue um exemplo de Dockerfile que aproveita a nova base e aplica boas práticas de multi‑stage build:
```Dockerfile
# Etapa 1 – Build da aplicação
FROM golang:1.22-alpine AS builder
WORKDIR /src
COPY . .
RUN go build -o /app/myservice ./cmd/myservice

# Etapa 2 – Runtime minimalista
FROM ubuntu-minimal:22.04
# Instala apenas o runtime necessário (ex.: ca‑certificates)
RUN apt-get update && \\
    apt-get install -y --no-install-recommends ca-certificates && \\
    rm -rf /var/lib/apt/lists/*
COPY --from=builder /app/myservice /usr/local/bin/myservice
EXPOSE 8080
ENTRYPOINT ["/usr/local/bin/myservice"]
```
Comandos úteis:
* `docker build -t myservice:latest --squash .` – compacta as camadas intermediárias.
* `docker-slim build --target myservice:latest` – reduz ainda mais removendo arquivos não‑essenciais.
* `ubuntu-oci-audit scan myservice:latest --output sbom.json` – gera SBOM e assinatura.

Integração com scanners de vulnerabilidade
A estratégia recomendada é combinar Trivy (para detecção de CVEs) com Cosign (para assinatura).  Exemplo de pipeline CI (GitHub Actions):
```yaml
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Build image
        run: |
          docker build -t registry.example.com/myservice:${{ github.sha }} .
      - name: Scan vulnerabilities
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: registry.example.com/myservice:${{ github.sha }}
          format: json
          output: trivy-report.json
      - name: Sign image
        uses: sigstore/cosign-action@v2
        with:
          image: registry.example.com/myservice:${{ github.sha }}
          sign: true
      - name: Push image
        run: |
          docker push registry.example.com/myservice:${{ github.sha }}
```
Esse fluxo garante que nenhuma imagem seja promovida ao ambiente de produção sem passar por auditoria e assinatura criptográfica.

Conclusão – Estabilidade em produção
A introdução da Ubuntu Minimal Base Image e da ferramenta ubuntu‑oci‑audit representa um salto qualitativo para quem precisa entregar containers seguros e leves.  Para os administradores de sistemas, a adoção dessas práticas traduz‑se em menor consumo de recursos, menos falsos positivos em scanners de vulnerabilidade e uma cadeia de confiança que pode ser verificada em tempo de execução.  Ao integrar essas novidades nos pipelines CI/CD e nas políticas de segurança corporativa, garantimos que a estabilidade dos servidores de produção – seja em VPS, nuvem pública ou clusters LXD – seja mantida, ao mesmo tempo em que reduzimos a superfície de ataque e otimizamos custos operacionais.  Em ambientes críticos, menos "bloat" significa menos pontos de falha e, consequentemente, maior disponibilidade para os clientes finais.