MinIO interrompe distribuição gratuita de imagens Docker

• O software de armazenamento de objetos MinIO interrompeu a distribuição de imagens Docker oficiais, gerando forte reação negativa na comunidade
• A interrupção ocorreu sem aviso prévio logo após um patch de vulnerabilidade de segurança (CVE), levantando preocupações de que muitos ambientes que usam atualização automática fiquem expostos a riscos de segurança
• Usuários criticam a erosão da confiança no open source e uma suposta estratégia de lock-in para clientes corporativos, enquanto se espalham discussões sobre builds próprios ou projetos fork
• Alguns usuários apontam uma “tendência de comercialização do open source financiado por VC” e mencionam a possibilidade de projetos comunitários alternativos, como no caso do nextCloud
• A MinIO afirmou que “a decisão já havia sido tomada antes do problema de segurança e que apenas interrompeu o build de Docker”, mas a controvérsia continua

---

Interrupção da distribuição de imagens Docker da MinIO

• A equipe da MinIO anunciou que deixará de fornecer imagens Docker oficiais, provocando controvérsia
  • Era uma imagem popular, com mais de 1 bilhão de downloads
  • Usuários da comunidade criticam que “a decisão foi inadequada no momento em que as atualizações de segurança foram interrompidas”

Reação da comunidade e aumento da desconfiança

• Usuários veem a medida como um ‘rug pull’ feito sem aviso prévio
  • Surgiram críticas de que seria “uma decisão estratégica para lock-in de clientes corporativos”
  • Também houve apontamentos de que a empresa estaria “gradualmente migrando para uma direção mais fechada, com remoção de código OIDC e fim do Docker”
• Alguns reagiram dizendo: “Usei e recomendei por 6 anos, mas não dá mais para confiar”

Problemas de segurança e atualização

• A comunidade alerta que, com a interrupção das atualizações automáticas, inúmeros ambientes instalados podem deixar de receber patches de vulnerabilidade
  • Sistemas de atualização automática como o Watchtower não funcionam mais
  • Com isso, pequenos home servers e serviços comunitários podem ficar expostos a riscos de segurança no longo prazo

Controvérsia sobre comercialização e desgaste dos valores do open source

• Usuários apontam uma “tendência de empresas de open source apoiadas por VC excluírem a comunidade e migrarem para o modelo pago”
  • A documentação e os guias ainda recomendam o uso de Docker, mas essa imagem ainda contém CVEs sem patch
  • Surgiu a sugestão de “deixar um aviso de segurança no README e remover o botão do DockerHub”
• Alguns afirmam que “o custo de builds automáticos via GitHub Actions é praticamente zero”, classificando a medida como uma “decisão maliciosa”

Diferentes reações e conclusão do debate

• Alguns desenvolvedores criticaram a reação por considerá-la exagerada, dizendo que “basta fazer o build manualmente”, mas a maioria respondeu que “em ambientes corporativos, builds customizados recorrentes geram custo”
  • Também foi apresentada a visão de que “o open source não é obrigação para ninguém, mas quando a intenção comercial é clara, o problema é a falta de transparência”
• A MinIO afirmou que a discussão “não estava sendo construtiva” e bloqueou a issue, encerrando o assunto

[t7vonn]

Bora, rustfs!

[kimjoin2]

“Em ambientes corporativos, builds customizadas repetidas geram custos”
VS
“Na prática, o custo de builds automáticas via GitHub Actions é quase zero”

kkk

[GN⁺]

Comentários no Hacker News

• Há algumas semanas vi um anúncio da MinIO dizendo que tinha interrompido o trabalho de documentação da base de código open source. Em 10 de outubro, no Slack, disseram: "os sites de documentação docs.min.io/community saíram do ar esta manhã e, se possível, serão redirecionados para a documentação do AIStor". O repositório minio/docs também está sem atualizações há 2 semanas e parece que não terá mais. Quando montei um cluster MinIO em fevereiro, no geral foi fácil, mas em algumas partes foi difícil. Dicas importantes de instalação às vezes só restavam em comentários no GitHub mencionando arquivos que já tinham sido apagados anos atrás. Este ano estou expandindo um cluster na faixa de 100PB, e o preço do suporte é quase o mesmo do armazenamento S3, sem incluir o custo real de hospedagem. Isso não soa como grande valor para o cliente, e a situação agora é que só dá para depender do que ainda resta. Sou grato pelas contribuições da MinIO para o mundo e pelo negócio que construíram, mas agora essas contribuições estão parando, e parece que no ano que vem sairá o último release open source. Também deixaram a proposta de que, se alguém estiver usando MinIO e achar o custo do suporte pesado, pode entrar em contato
  • Acho realmente absurdo o custo do suporte ser quase igual ao do armazenamento S3. Acho correto buscar cotações concorrentes com empresas como NetApp ou Dell. Faz tempo que não faço isso, mas alguns anos atrás ainda saía cerca de metade do preço do S3, incluindo hospedagem
  • Mais grave do que esconder imagens pré-compiladas parece ser simplesmente acabar com a documentação open source. Seria bom organizar e deixar registradas essas dicas de instalação em outro lugar além de comentários no GitHub
  • Eu também fiquei muito insatisfeito ao ver o console ser removido sem aviso durante um upgrade. Há cerca de um mês comecei a procurar alternativas ao MinIO e encontrei o RustFS; estou testando há mais de um mês e ele continua melhorando. A comunidade também corrige bugs numa velocidade impressionante. Queria que a YC investisse nessa empresa
  • Olhando para trás, penso que talvez tenha sido sorte eu não ter entrado na MinIO como responsável por documentação de suporte
  • Vendo um cluster de 100PB ser montado e gerar quase nenhuma receita, entendo por que a MinIO faz esse tipo de escolha. Fico curioso se isso vai acabar sendo “valkeyed”, como aconteceu com o Redis, embora eu ache que a AWS não seria quem puxaria isso
• A MinIO já tinha removido todos os recursos úteis da interface web da edição comunitária, usando como desculpa que era difícil de manter. Isso também parece mais um exemplo de empresa com dinheiro de VC que cresce primeiro e depois puxa a escada
  • Pergunta sobre qual escada foi puxada. Como é possível fazer fork do último commit funcional e criar um concorrente, a opinião é que então a pessoa deveria ir lá e fazer isso
  • Sobre isso ser desculpa ou não: manutenção custa dinheiro, e pelas licenças das versões anteriores dá para corrigir e usar por conta própria. Achar que open source garante atualizações e suporte gratuitos para sempre é quase uma fantasia. Vejo isso acontecer com frequência até em projetos open source sem empresa por trás. Mantenedores se esgotam facilmente e só recebem exigências de updates gratuitos de todos os lados, com quase nenhuma recompensa
  • É preciso ter consciência do risco de que serviços financiados por VC não garantem nem suporte estável nem benefícios gratuitos
• Fico na dúvida se, sendo um projeto open source, faz sentido as pessoas reclamarem por não poder baixar imagens Docker gratuitas. Se houver demanda suficiente, alguém confiável vai automatizar isso e gerar imagens Docker. Em vez disso, o que me incomoda é a página de preços do site Min.io não mostrar os preços. Pelo que vi no material de concorrentes como a Cloudian, parece ser algo acima de US$ 96.000 por ano, então não dá para dizer que é barato (a Cloudian é um produto fechado)
  • Quando uma empresa distribui imagens Docker publicamente por muito tempo, os usuários passam a confiar nisso na hora de escolher a solução. Especialmente numa situação com vulnerabilidades de segurança (CVE), cortar a distribuição das imagens sem aviso e deixar apenas um commit discreto no README meros 4 dias antes parece quase malicioso. Se realmente fosse algo pensado para a comunidade, deveria ter havido um período de aviso, um anúncio no repositório, um caminho de migração, políticas para ajudar mantenedores da comunidade etc. Em vez disso, mudaram em silêncio e depois ficaram quietos sem explicação. Havia inclusive uma grande vulnerabilidade, e mesmo assim nem sequer distribuíram imagens com patch da vulnerabilidade. É irresponsável
  • Acho que a MinIO não é realmente open source; no máximo, é código-fonte aberto. Já rodei uma instância do MinIO antes e recebi contato do jurídico da MinIO ameaçando processo por violação de licença open source, alegando que “injeção de arquivo de configuração também é modificação de código”. Deixo alguns tópicos relacionados no HN: 35328316, 32148007
  • Estou cansado da ideia de que, só por ser open source, ninguém pode expressar insatisfação com nada. A MinIO está movendo para a área paga/não comercial recursos que ela oferecia como parte do open source há muito tempo, então é compreensível que quem usava isso se decepcione. Acho perfeitamente razoável reclamar
  • Esse tipo de movimento pode ser visto como enfraquecimento da comunidade. Tornar tudo deliberadamente inconveniente talvez aumente a conversão para o plano pago, mas eu preferiria que a diferença entre o produto open source e o comercial tivesse sido clara desde o começo
  • A empresa certamente tem o direito de parar de gerar imagens Docker, mas os usuários também têm o direito de ir embora e procurar alternativas. Se é uma empresa que remove funcionalidades, eu também não quero usar
• Na verdade, não acho que seja um problema tão grande. Já existem outros lugares, como a Bitnami, que mantêm imagens públicas do Minio, então há alternativas. Pela licença do Minio talvez eles pudessem até tentar barrar isso, mas além da imagem oficial também há várias imagens compatíveis. Parece que a Minio tem orgulho demais do próprio produto. Ele tem valor como armazenamento de objetos compatível com S3, mas não é a única opção. Quanto mais desconfortável ficar usar, mais facilmente surgem substitutos. Empresas que fecham produtos open source populares quase sempre estão dando um tiro no pé. A Hashicorp fez isso com o Terraform e a comunidade migrou para clones como o OpenTofu. O Redis foi substituído pelo Valkey, o MySQL pelo MariaDB, o OwnCloud pelo Nextcloud. O mercado corporativo que precisa de contrato de suporte pode até continuar existindo, mas a porta de entrada de novos clientes quebra. Não há motivo para escolher um produto comercial fechado sem comunidade. Esse movimento da MinIO é ruim para ela mesma
  • Foi dito que a Bitnami e outros poderiam continuar oferecendo imagens públicas do MinIO, mas isso também deve parar em breve. Avisos relacionados: Mudança anunciada pela Bitnami, post no HN
• Não é um substituto completo, mas uma alternativa chamada Garage já recebeu boas avaliações em outros posts do HN Garage
  • Acho que é uma alternativa bem viável para self-hosting. Fica devendo em alguns pontos em relação ao MinIO e não tem compatibilidade perfeita, mas atende bem à maioria das aplicações
  • O Garage tem bastante coisa para configurar, então é meio trabalhoso
  • O Ceph também tem recurso próprio de armazenamento de objetos compatível com S3 Ceph Object Gateway
  • Não suporta if-match
• Sinto que o título do post enviado ao HN é meio enganoso. Pode dar a impressão de que a MinIO abandonou o open source de verdade, e isso parece um problema ainda maior. Acho que um título como "MinIO para de distribuir imagens Docker gratuitas" seria mais correto. Vale ver este README
  • O título foi alterado conforme sugerido
  • Só como referência, o título original era 'minio went source-only'. Do ponto de vista de um usuário de Gentoo, isso não é um grande problema
  • Eu também entendi errado o título no começo. É interessante, mas a possibilidade de interpretação errada realmente é alta
• Nós usamos MinIO em ambiente de cliente, então criamos e distribuímos nosso próprio processo de build noturna minio-builds. Se precisar, pode fazer fork e usar. Exemplo:

  docker run -p 9000:9000 -p 9001:9001 ghcr.io/golithus/minio:latest
  

  • Para referência, o Dockerfile desse repositório é bem simples, com apenas 19 linhas, basicamente só copiando o binário Dockerfile. Também não é difícil manter nem testar, então a liderança da MinIO não precisa necessariamente distribuir imagens Docker de graça; quem precisar pode fazer por conta própria
  • Tenho curiosidade sobre como lidam com a revisão de conformidade de licença dos clientes ao entregar software sob licença AGPL. Já tive casos de clientes recusando outras licenças (como MPL), então queria ouvir algum exemplo prático
• Entendo os dois lados dessa discussão
  1. A MinIO é um negócio e não tem obrigação de dar nada de graça para os outros
  2. Usuários da versão OSS também têm liberdade para expressar insatisfação Se usaram a versão OSS como ferramenta de marketing sem possibilidade de retorno financeiro, é natural que a confiança da comunidade desmorone e o efeito disso também enfraqueça. É o mesmo problema de marketing de conteúdo ou marketing com influenciadores: no fim, a essência acaba se perdendo
  • Todo mundo deveria entender como algo natural que uma empresa com fins lucrativos não vai continuar contribuindo com open source se isso não ajudar o próprio negócio. Se a empresa recebeu investimento de VC, em algum momento monetização ou restrição é inevitável. Se você vai depender no longo prazo de OSS mantido por empresa, precisa considerar a possibilidade futura de cobrança e entender o modelo de negócio. Se for algo baseado em VC, também pode haver interrupção ou mudança repentina, então é melhor evitar usar por anos algo que será essencial
  • Concordo com os pontos levantados. Não acho que o fato de a MinIO ter parado de distribuir imagens Docker gratuitas seja o verdadeiro problema. Mesmo que ela gere as imagens, o custo de infraestrutura e equipe não é tão alto, e a comunidade ou outras empresas conseguem facilmente assumir isso. Já existiam alternativas em projetos como a Bitnami. O problema de fundo é esse padrão de comportamento. Tiraram a interface web da edição comunitária usando a desculpa de “dificuldade de manutenção” e também negligenciaram a documentação. Só que isso vinha sendo ignorado em silêncio, até que a polêmica cresceu por causa das imagens Docker. Nem medidas mínimas, como patches de vulnerabilidade, foram tomadas. No fim, passa a impressão de uma empresa que trata a comunidade com descaso e foca apenas na receita, a ponto de chutar fora até a confiança que tinha conquistado com promessas anteriores
• No momento estou preparando um processo de build de binários e devo publicar em breve no golithus. Uso bastante a edição comunitária do MinIO, mas acho que no futuro os dias de distribuí-lo diretamente serão menos frequentes. Para implantações pequenas, pretendo testar o Garage; para grandes implantações, a combinação Ceph/Rook. Também gostaria de ouvir experiências reais com o Garage (principalmente em ambientes multi-PiB)
  • O processo de build foi concluído e está sendo distribuído em minio-builds
  • Os desenvolvedores do Garage disseram que existem casos de operação em larga escala acima de 10PiB, mas eu mesmo não testei isso na prática. O melhor é perguntar no chat do Matrix
• Pelas mudanças recentes no README, a mensagem da MinIO mudou de "não há releases planejados para o repositório MinIO e eles podem ser lançados sem aviso se necessário" para "agora a edição comunitária é distribuída apenas como código-fonte". Ou seja, dizem que o projeto open source em si não foi encerrado, mas a distribuição de binários está sendo limitada aos clientes histórico da mudança no README