Contêineres de sistema LXC/Incus: o que são e quando usá-los em vez de um contêiner de aplicação

O que é

O Incus, documentado em linuxcontainers.org e criado em 2023 como fork do LXD, é um gerenciador de contêineres de sistema e de máquinas virtuais, ambos tratados pela mesma abstração de "instância" e pelo mesmo conjunto de comandos. Segundo a documentação, um contêiner de sistema executa um sistema operacional completo, com init e vários serviços, e não uma única aplicação; esse é o modelo que o LXC popularizou e que o Incus continua. Já os contêineres de aplicação (o modelo usual do Docker/Podman) empacotam um único processo e suas dependências, em geral sem um init dentro.

Por que importa

Os dois modelos servem a tarefas diferentes. Um contêiner de sistema se comporta como uma VM leve, de boot rápido: é possível entrar nele via ssh (ou pelo console), executar vários serviços de longa duração, aplicar atualizações de pacotes do sistema operacional dentro dele e tratá-lo praticamente como uma pequena máquina dedicada. Como compartilha o kernel do host, normalmente inicia em poucos segundos e tem menos overhead do que uma VM completa. (Para um login via SSH, é preciso ter um servidor SSH instalado dentro dele, como em qualquer máquina.) Um contêiner de aplicação é pensado para uma tarefa por contêiner, orquestrado e substituído como uma unidade, com o estado mantido fora dele. Escolher um contêiner de sistema para rodar um único processo de servidor web acrescenta uma complexidade que um contêiner Podman/Docker resolveria de forma mais simples; escolher um motor de contêineres de aplicação para hospedar um ambiente legado completo, com vários serviços, vai contra as premissas da ferramenta.

Como aplicar

• Acesso: o cliente incus exige root ou participação no grupo incus-admin para ter controle total do servidor local (o grupo incus dá acesso a um projeto restrito por usuário).
• Criar e inspecionar uma instância: incus launch images:debian/12 mycontainer inicia um contêiner de sistema a partir de uma imagem publicada (acrescente --vm para uma máquina virtual); incus list mostra todas as instâncias com tipo, estado e endereços.
• Obter um shell: incus exec mycontainer -- bash executa um comando dentro da instância; incus console mycontainer conecta ao console da instância (útil antes de a rede estar ativa; para desconectar, use Ctrl+a q), e incus console mycontainer --show-log exibe o log do console.
• Fazer um snapshot antes de uma alteração arriscada: incus snapshot create mycontainer before-upgrade; depois, incus snapshot restore mycontainer before-upgrade para reverter. Como qualquer snapshot, ele fica no próprio storage pool da instância e não é um backup independente; para isso, incus export mycontainer /backup/mycontainer.tar.gz gera um tarball que pode ser levado para outro armazenamento.
• Use o Incus (ou o LXC diretamente) quando quiser um ambiente persistente, com vários serviços e semelhante a um sistema operacional, compartilhando o kernel do host; use Podman/Docker quando a unidade de implantação for um único processo construído a partir de uma imagem.

Armadilhas

• Supor que um contêiner de sistema seja uma barreira de segurança equivalente a uma VM: ele compartilha o kernel do host, de modo que vulnerabilidades do kernel afetam o isolamento como em qualquer tecnologia de contêineres. Por padrão, os contêineres são não privilegiados (com mapeamento de UID); definir security.privileged=true remove esse mapeamento e deve ser evitado para cargas de trabalho não confiáveis.
• Executar atualizações automáticas de pacotes em muitos contêineres de sistema sem a mesma disciplina de atualização aplicada ao host: cada um deles é um pequeno sistema operacional que precisa de manutenção própria.