Introdução
O ecossistema Ubuntu recebeu recentemente uma atualização focada em acelerar a entrega de software através de imagens OCI (Open Container Initiative) menores, porém completas. Essa mudança responde a um dos maiores dilemas dos ISVs (Independent Software Vendors): equilibrar o tamanho reduzido da imagem com a visibilidade completa de vulnerabilidades. O artigo a seguir detalha a novidade, seus impactos práticos para servidores de produção (VPS, Cloud), segurança do kernel e administração de containers Docker/LXD, e oferece um guia passo‑a‑passo para a criação de imagens enxutas sem sacrificar a estabilidade corporativa.

O que há de novo no Ubuntu?
A Canonical introduziu o meta‑pacote **ubuntu-base** e um conjunto de ferramentas de otimização de imagens OCI que são entregues como parte dos repositórios oficiais a partir da versão 24.04 LTS. Entre as principais inovações estão:
- **ubuntu-base**: imagem de partida mínima, contendo apenas o kernel, bibliotecas essenciais e o gerenciador de pacotes apt, eliminando componentes de desktop e serviços desnecessários.
- **umoci** e **buildah** integrados ao snapcraft, permitindo manipular camadas OCI de forma declarativa.
- **docker-slim** como pacote oficial, facilitando a compressão automática de imagens Docker sem perder dependências críticas.
Essas ferramentas reduzem o "bloat" (excesso de arquivos) mantendo o conjunto completo de recursos que a aplicação requer, ao mesmo tempo em que melhoram a detecção de CVEs.

Impacto prático para Sysadmins
* **Redução de custo de armazenamento** – Imagens que antes ocupavam 600 MB podem cair para 150 MB, economizando espaço em registries privados e reduzindo custos de transferência em ambientes de nuvem.
* **Menor superfície de ataque** – Cada arquivo removido elimina potenciais vetores de exploração; scanners como Trivy ou Anchore conseguem analisar 30 % a menos de camadas, diminuindo falsos positivos.
* **Tempo de boot mais rápido** – Em servidores VPS ou instâncias cloud, a inicialização de containers cai de ~2 s para menos de 0,5 s, o que impacta diretamente em pipelines CI/CD.
* **Compatibilidade com LXD** – O LXD já suporta imagens OCI; a nova base permite criar containers LXD com menos recursos, ideal para multi‑tenant em servidores de teste.

Como criar imagens OCI minimalistas
Segue um exemplo prático usando Docker e as novas ferramentas do Ubuntu:

# 1. Instale as ferramentas necessárias
sudo apt update && sudo apt install -y ubuntu-base buildah umoci docker-slim

# 2. Crie um Dockerfile multi‑stage usando ubuntu-base
cat > Dockerfile <<'EOF'
FROM ubuntu:24.04 AS base
# Instala apenas o runtime necessário
RUN apt-get update && \\
    DEBIAN_FRONTEND=noninteractive apt-get install -y --no-install-recommends \\
        ca-certificates curl && \\
    rm -rf /var/lib/apt/lists/*

# Copie a aplicação (exemplo: binary chamada app)
COPY ./app /usr/local/bin/app

# Defina o entrypoint
ENTRYPOINT ["/usr/local/bin/app"]
EOF

# 3. Construa a imagem padrão
docker build -t myapp:full .

# 4. Otimize com docker-slim
docker-slim build --target myapp:full --output myapp:minimal

# 5. Verifique o tamanho
docker images myapp:minimal
EOF
O resultado costuma ser uma imagem com menos de 120 MB, pronta para ser enviada a registries como Docker Hub ou o Ubuntu Private Cloud Registry (UPCR).

Integração com scanners de vulnerabilidade
Para garantir que a redução de tamanho não esconda vulnerabilidades, integre a pipeline CI com ferramentas como **Trivy** ou **Grype**. Exemplo de uso no GitLab CI:

stages:
  - build
  - scan

build_image:
  stage: build
  script:
    - docker build -t registry.example.com/myapp:latest .
  artifacts:
    paths:
      - image.tar

scan_image:
  stage: scan
  image: aquasec/trivy:latest
  script:
    - trivy image registry.example.com/myapp:latest --severity HIGH,CRITICAL --exit-code 1

Ao usar a imagem **ubuntu-base**, o scanner tem menos camadas para analisar, o que reduz falsos positivos provenientes de pacotes desnecessários.

Considerações de estabilidade e kernel
Embora a redução de pacotes seja benéfica, o kernel do Ubuntu LTS continua sendo o mesmo, garantindo compatibilidade binária. Entretanto, ao remover módulos de kernel que não são necessários (por exemplo, drivers de hardware específicos), assegure‑se de que o host subjacente já possua os módulos carregados. Use o comando abaixo para listar módulos carregados no host:

lsmod | grep -E 'vfio|kvm|aufs'

Caso algum módulo essencial esteja ausente, inclua-o no **initramfs** do host ou adicione o pacote **linux-modules-extra-$(uname -r)** ao host antes de iniciar os containers.

Conclusão
A iniciativa "Cut bloat, not features" traz ao Ubuntu um conjunto de ferramentas que permitem aos ISVs e Sysadmins criar imagens OCI drasticamente menores, mantendo a visibilidade total de vulnerabilidades e a estabilidade garantida pelas versões LTS. A adoção dessas práticas resulta em economia de armazenamento, tempos de implantação mais curtos e uma superfície de ataque reduzida – fatores críticos para ambientes corporativos que exigem alta disponibilidade e conformidade de segurança. Recomenda‑se testar a nova base **ubuntu-base** em ambientes de staging, validar a compatibilidade de dependências e, finalmente, promover a imagem otimizada para produção, sempre acompanhada de scanners de CVE integrados ao pipeline CI/CD.