MinIO ngừng phân phối ảnh Docker miễn phí

• Phần mềm lưu trữ đối tượng MinIO đã ngừng phân phối ảnh Docker chính thức, làm làn sóng phản đối trong cộng đồng ngày càng gia tăng
• Việc dừng này diễn ra ngay sau khi vá lỗ hổng bảo mật (CVE) mà không có báo trước, làm dấy lên lo ngại rằng nhiều môi trường cài đặt dùng cập nhật tự động sẽ bị phơi bày trước rủi ro bảo mật
• Người dùng chỉ trích sự suy giảm niềm tin vào mã nguồn mở và chiến lược khóa chặt khách hàng doanh nghiệp, đồng thời các thảo luận về tự build hoặc dự án fork đang lan rộng
• Một số người dùng chỉ ra “xu hướng thương mại hóa của mã nguồn mở được quỹ VC tài trợ”, và nhắc tới khả năng xuất hiện dự án thay thế từ cộng đồng như trường hợp nextCloud
• Phía MinIO giải thích rằng đây là “quyết định đã được đưa ra trước vấn đề bảo mật và chỉ đơn thuần là dừng build Docker”, nhưng tranh cãi vẫn tiếp diễn

---

MinIO dừng phân phối ảnh Docker

• Việc đội ngũ MinIO thông báo ngừng cung cấp ảnh Docker chính thức đã gây tranh cãi
  • Đây vốn là ảnh phổ biến với hơn 1 tỷ lượt tải xuống
  • Người dùng cộng đồng chỉ trích rằng “quyết định vào thời điểm các bản cập nhật bảo mật bị dừng là không phù hợp”

Phản ứng dữ dội từ cộng đồng và sự lan rộng của mất niềm tin

• Người dùng xem động thái này là một “rug pull” diễn ra không có thông báo trước
  • Có ý kiến cho rằng đây là “quyết định mang tính chiến lược để khóa khách hàng doanh nghiệp”
  • Cũng có nhận định rằng “việc gỡ mã OIDC, dừng Docker, v.v. cho thấy đang dần chuyển sang hướng khép kín hơn”
• Một số người phản ứng rằng “đã dùng và giới thiệu suốt 6 năm, nhưng giờ không thể tiếp tục tin tưởng nữa”

Vấn đề bảo mật và cập nhật

• Cộng đồng cảnh báo rằng do cập nhật tự động bị ngừng, rất nhiều môi trường cài đặt sẽ không nhận được bản vá lỗ hổng
  • Các hệ thống cập nhật tự động như Watchtower sẽ không còn hoạt động
  • Vì vậy, các home server nhỏ, dịch vụ cộng đồng, v.v. có thể bị đặt vào rủi ro bảo mật lâu dài

Tranh cãi về thương mại hóa và sự xói mòn giá trị mã nguồn mở

• Người dùng chỉ ra “xu hướng các công ty mã nguồn mở được VC hậu thuẫn gạt cộng đồng sang bên để chuyển sang mô hình thu phí”
  • Tài liệu và hướng dẫn vẫn khuyến nghị dùng Docker, nhưng ảnh tương ứng vẫn còn CVE chưa được vá
  • Có đề xuất “nên ghi rõ cảnh báo bảo mật trong README và gỡ nút DockerHub”
• Một số người cho rằng “chi phí build tự động bằng GitHub Actions thực tế gần như bằng 0”, và xem động thái lần này là một “quyết định ác ý”

Nhiều phản ứng khác nhau và kết cục của cuộc tranh luận

• Một số lập trình viên cho rằng “tự build là được”, và chỉ trích phản ứng này là quá đà, nhưng đa số phản bác rằng “trong môi trường doanh nghiệp, việc lặp lại các bản build tùy chỉnh sẽ phát sinh chi phí”
  • Có ý kiến rằng “mã nguồn mở không nợ ai điều gì, nhưng khi ý đồ thương mại quá rõ ràng thì vấn đề nằm ở sự thiếu minh bạch”
• Phía MinIO cho rằng cuộc thảo luận “không mang tính xây dựng” và đã khóa issue rồi kết thúc

[t7vonn]

rustfs tiến lên nào

[kimjoin2]

“Trong môi trường doanh nghiệp, việc build tùy chỉnh lặp đi lặp lại sẽ làm phát sinh chi phí”
VS
“Chi phí build tự động thông qua GitHub Actions trên thực tế gần như bằng 0”

haha

[GN⁺]

Ý kiến trên Hacker News

• Vài tuần trước tôi thấy thông báo rằng MinIO đã ngừng làm tài liệu cho codebase mã nguồn mở. Ngày 10 tháng 10 trên Slack có nói rằng "các trang tài liệu docs.min.io/community đã bị gỡ xuống từ sáng nay, và nếu có thể sẽ được chuyển hướng sang tài liệu AIStor". Kho minio/docs cũng đã 2 tuần không có cập nhật và có lẽ sau này cũng sẽ không còn nữa. Khi tôi dựng một cụm MinIO vào tháng 2 thì nhìn chung khá dễ, nhưng ở một số chỗ cũng khá khó. Những mẹo cài đặt quan trọng đôi khi chỉ còn lại trong các bình luận GitHub nhắc đến những tệp đã bị xóa từ vài năm trước. Năm nay tôi đang mở rộng triển khai một cụm cỡ 100PB, nhưng giá hỗ trợ gần như ngang với lưu trữ S3 và đó còn là mức chưa bao gồm chi phí hosting thực tế. Điều này không tạo được nhiều giá trị trong mắt khách hàng, và hiện giờ chúng tôi đành chỉ có thể dựa vào những gì còn lại. Tôi biết ơn những đóng góp của MinIO cho thế giới và cho doanh nghiệp, nhưng giờ những đóng góp đó đang dừng lại, và có vẻ năm sau sẽ là bản phát hành mã nguồn mở cuối cùng. Người này cũng đề nghị rằng nếu ai đang dùng MinIO mà thấy chi phí hỗ trợ quá nặng thì hãy liên hệ
  • Tôi thấy việc giá hỗ trợ gần như ngang với lưu trữ S3 thực sự là vô lý. Có lẽ nên lấy báo giá cạnh tranh từ những bên như NetApp hay Dell. Gần đây tôi chưa làm, nhưng vài năm trước thì nó rẻ hơn S3 khoảng một nửa (đã gồm phí hosting)
  • Việc xóa hẳn tài liệu mã nguồn mở còn nghiêm trọng hơn chuyện ẩn các image build sẵn. Sẽ tốt hơn nếu các mẹo cài đặt được tổng hợp và lưu lại ở đâu đó ngoài bình luận GitHub
  • Tôi cũng rất khó chịu khi thấy console bị gỡ bỏ không báo trước trong lúc nâng cấp. Khoảng một tháng trước tôi bắt đầu tìm phương án thay thế MinIO và phát hiện RustFS; tôi đã thử nghiệm hơn một tháng và nó vẫn tiếp tục cải thiện. Cộng đồng cũng sửa lỗi cực nhanh. Tôi mong YC đầu tư vào công ty này
  • Nhìn lại, tôi thấy có lẽ thật may vì mình đã không gia nhập MinIO với vai trò phụ trách tài liệu hỗ trợ
  • Thấy một cụm 100PB được dựng lên mà gần như không mang lại doanh thu thì tôi cũng hiểu vì sao MinIO đưa ra lựa chọn này. Tôi tự hỏi liệu nó có bị “valkeyed” như Redis không (dù tôi không nghĩ AWS sẽ là bên làm việc đó)
• MinIO trước đây đã loại bỏ mọi tính năng hữu ích khỏi web UI của community edition và lấy lý do là khó bảo trì. Lần này cũng bị xem là thêm một ví dụ các công ty nhận vốn VC tăng trưởng xong rồi rút thang đi
  • Có người hỏi là họ đã rút cái thang nào. Nếu fork từ commit cuối cùng còn ổn thì có thể tạo đối thủ cạnh tranh, vậy hãy tự đứng ra làm
  • Về chuyện đó có phải chỉ là cái cớ hay không: bản thân việc bảo trì đã tốn chi phí, và với các phiên bản cũ theo giấy phép thì bạn hoàn toàn có thể tự sửa để dùng. Nghĩ rằng mã nguồn mở đồng nghĩa với việc được bảo đảm cập nhật miễn phí và hỗ trợ trọn đời là gần như ảo tưởng. Tôi thường xuyên thấy chuyện tương tự cả ở các dự án mã nguồn mở không có công ty đứng sau. Maintainer rất dễ kiệt sức trong khi khắp nơi chỉ đòi cập nhật miễn phí và gần như không có đền đáp
  • Cần nhận thức rủi ro rằng những dịch vụ nhận vốn VC không bảo đảm hỗ trợ ổn định cũng không bảo đảm quyền lợi miễn phí
• Tôi tự hỏi nếu là dự án mã nguồn mở thì có thật sự có lý do để mọi người phàn nàn vì không còn nhận được Docker image miễn phí không. Nếu nhu cầu đủ lớn thì sẽ có ai đó đáng tin tự động hóa việc build Docker image. Tôi còn khó chịu hơn vì trang giá trên website Min.io không hiển thị giá. Tham khảo phần nói về đối thủ Cloudian thì có vẻ từ $96.000/năm trở lên, khó mà gọi là rẻ được (Cloudian là sản phẩm đóng)
  • Khi một dự án đã công khai phân phối image Docker build sẵn trong thời gian dài thì người dùng sẽ tin vào điều đó và chọn dùng nó. Đặc biệt là trong bối cảnh đang có lỗ hổng bảo mật (CVE), việc ngừng phát hành image mà không báo trước, chỉ âm thầm để lại một commit trong README vỏn vẹn 4 ngày trước đó, gần như mang cảm giác ác ý. Nếu thực sự nghĩ cho cộng đồng thì đáng ra phải có thời gian báo trước, thông báo trong repo hoặc lộ trình chuyển đổi, hay chính sách hỗ trợ maintainer cộng đồng. Nhưng lần này họ âm thầm đổi rồi im luôn, không giải thích gì cả. Dù có lỗ hổng lớn, họ cũng không phát hành nổi image đã vá. Quá vô trách nhiệm
  • Tôi nghĩ MinIO không thật sự là mã nguồn mở mà chỉ là source-available. Trước đây tôi từng chạy một instance MinIO rồi nhận được liên hệ từ bộ phận pháp lý của MinIO nói rằng “tiêm file cấu hình cũng là sửa mã nguồn”, nên tôi đang vi phạm giấy phép mã nguồn mở. Tôi để lại vài thread HN liên quan: 35328316, 32148007
  • Tôi thấy mệt với kiểu lập luận rằng chỉ vì là mã nguồn mở thì không được phép phàn nàn về bất cứ điều gì. MinIO đã chuyển những tính năng từng được cung cấp như một phần của mã nguồn mở sang khu vực trả phí/phi thương mại sau một thời gian dài, nên từ góc nhìn người đang dùng thì thất vọng là điều dễ hiểu. Tôi nghĩ việc bất mãn là hoàn toàn hợp lý
  • Những bước đi như vậy có thể bị nhìn nhận là làm suy yếu cộng đồng. Cố tình làm cho trải nghiệm bất tiện hơn có thể giúp tăng tỷ lệ chuyển đổi trả phí, nhưng ngay từ đầu tôi ước gì họ phân định rõ ràng hơn giữa sản phẩm mã nguồn mở và sản phẩm thương mại
  • Họ rõ ràng có quyền ngừng build Docker image, nhưng người dùng cũng có quyền tìm giải pháp khác mà rời đi. Nếu là công ty đã cắt bớt tính năng thì tôi cũng không muốn dùng
• Tôi thật ra không nghĩ đây là vấn đề quá lớn. Đã có những nơi khác như Bitnami vẫn duy trì image Minio công khai nên vẫn có phương án thay thế. Theo giấy phép của Minio thì có lẽ họ cũng có thể cản chuyện này, nhưng ngoài image chính thức ra vẫn có nhiều image tương thích. Có vẻ Minio quá tự hào về sản phẩm của mình. Nó vẫn có giá trị như một object storage tương thích S3, nhưng không phải lựa chọn duy nhất. Càng làm cho việc sử dụng trở nên bất tiện thì càng dễ xuất hiện sản phẩm thay thế. Những công ty khóa lại các sản phẩm mã nguồn mở phổ biến của mình thường tự bắn vào chân. Hashicorp đã làm vậy với Terraform và cộng đồng chuyển sang các bản clone như OpenTofu. Redis bị thay bằng Valkey, MySQL bị thay bằng MariaDB, OwnCloud bị thay bằng Nextcloud. Thị trường doanh nghiệp cần hợp đồng hỗ trợ có thể vẫn còn, nhưng con đường thu hút khách hàng mới thì bị phá hỏng. Không có lý do gì để cố dùng một sản phẩm thương mại đóng mà không có cộng đồng. Những bước đi này của MinIO là tự gây hại cho chính mình
  • Có người nói Bitnami v.v. vẫn có thể tiếp tục cung cấp image MinIO công khai, nhưng ngay cả việc đó cũng sắp dừng. Thông tin liên quan: Thông báo thay đổi của Bitnami, bài HN
• Dù không phải thay thế hoàn toàn, Garage từng được đánh giá tốt trong các bài HN khác như một phương án thay thế Garage
  • Tôi nghĩ đây là một phương án đủ tốt để tự host. Nó có vài điểm còn thiếu so với MinIO và không hoàn toàn tương thích, nhưng với phần lớn ứng dụng thì vẫn rất ổn
  • Garage có khá nhiều thứ phải cấu hình nên hơi phiền
  • Ceph cũng có sẵn tính năng object storage tương thích S3 của riêng nó Ceph Object Gateway
  • Không hỗ trợ if-match
• Tôi cảm thấy tiêu đề bài gửi lên HN dễ gây hiểu lầm. Nó có thể khiến người ta tưởng MinIO thật sự từ bỏ mã nguồn mở, nên nghe có vẻ nghiêm trọng hơn nhiều. Tôi nghĩ tiêu đề như "MinIO ngừng phân phối Docker image miễn phí" sẽ phù hợp hơn. Xem README liên quan
  • Tôi đã sửa tiêu đề theo đề xuất
  • Tham khảo thêm, tiêu đề gốc là 'minio went source-only'. Với người dùng Gentoo thì đây không phải vấn đề lớn
  • Lúc đầu tôi cũng hiểu nhầm tiêu đề. Dù thú vị nhưng rõ ràng tiêu đề này rất dễ gây hiểu sai
• Chúng tôi dùng MinIO trong môi trường khách hàng nên đã tự làm quy trình build nightly và phát hành tại minio-builds. Nếu cần thì cứ fork mà dùng. Ví dụ:

  docker run -p 9000:9000 -p 9001:9001 ghcr.io/golithus/minio:latest
  

  • Tham khảo thêm, Dockerfile của repo này chỉ là một file 19 dòng đơn giản để copy binary Dockerfile. Việc duy trì/thử nghiệm cũng không khó, nên ban điều hành MinIO không nhất thiết phải phân phối Docker image miễn phí, và nếu cần thì hoàn toàn có thể tự làm
  • Tôi tò mò không biết khi bàn giao phần mềm theo giấy phép AGPL thì các bạn xử lý việc rà soát tuân thủ giấy phép của phía khách hàng như thế nào. Có những giấy phép khác (như MPL) từng bị khách hàng từ chối, nên tôi rất muốn nghe ví dụ thực tế
• Tôi hiểu cả hai phía trong cuộc tranh luận này
  1. MinIO là doanh nghiệp và không có nghĩa vụ miễn phí với người khác
  2. Người dùng bản OSS cũng có quyền bày tỏ bất mãn Nếu dùng OSS không thể kiếm tiền như một công cụ marketing thì tất nhiên niềm tin cộng đồng sẽ sụp đổ và hiệu quả của nó cũng giảm theo. Cũng giống content marketing hay influencer marketing, cuối cùng đều gặp vấn đề là bản chất bị làm mờ đi
  • Mọi người nên xem việc một công ty vì lợi nhuận sẽ không tiếp tục đóng góp mã nguồn mở nếu điều đó không còn giúp ích cho hoạt động kinh doanh của họ là điều hiển nhiên. Nếu là công ty nhận vốn VC thì việc thu phí/giới hạn vào một lúc nào đó là tất yếu. Nếu muốn phụ thuộc dài hạn vào OSS do doanh nghiệp hậu thuẫn thì nhất định phải tính trước khả năng tương lai sẽ mất phí, và phải hiểu mô hình kinh doanh của họ. Nếu là mô hình dựa trên VC thì cũng có thể có dừng đột ngột/chuyển hướng bất ngờ, nên tốt hơn là tránh dùng cho những thứ bắt buộc phải ổn định trong nhiều năm
  • Tôi đồng ý với các ý trên. Tôi không cho rằng việc MinIO ngừng phân phối Docker image miễn phí tự nó là vấn đề cốt lõi. Dù có build image thì chi phí hạ tầng/nhân sự cũng không quá lớn, và cộng đồng hoặc bên thứ ba hoàn toàn có thể gánh phần đó. Bitnami hay các dự án khác từng là lựa chọn thay thế. Vấn đề gốc là kiểu hành xử lặp đi lặp lại này. Họ đã gỡ web UI khỏi community edition với cái cớ là 'khó quản lý', rồi lại không chăm sóc tài liệu. Chỉ là những chuyện đó trước giờ bị bỏ qua âm thầm, đến vụ Docker image thì tranh cãi mới bùng lên. Họ thậm chí còn không làm những việc tối thiểu như phát hành bản vá lỗ hổng. Rốt cuộc tạo cảm giác họ xem nhẹ cộng đồng và chỉ tập trung vào doanh thu, thậm chí còn tự tay đá đổ niềm tin mà trước đây họ có được nhờ các cam kết cũ
• Hiện tôi đang chuẩn bị quy trình build binary và sẽ sớm công khai từ golithus. Tôi dùng MinIO community edition khá thường xuyên, nhưng nghĩ rằng về sau sẽ có ít ngày còn tự tin triển khai nó hơn. Với triển khai nhỏ tôi định thử Garage, còn với triển khai lớn sẽ thử tổ hợp Ceph/Rook. Tôi cũng muốn nghe kinh nghiệm dùng Garage thực tế (đặc biệt ở quy mô multi-PiB)
  • Tôi đã hoàn tất quy trình build và phát hành ở minio-builds
  • Các nhà phát triển Garage nói là có trường hợp vận hành lớn hơn 10PiB, nhưng tôi chưa tự mình trải nghiệm. Hỏi trên Matrix chat có lẽ là cách tốt nhất
• Nhìn vào thay đổi README gần đây, MinIO đã chuyển từ câu "không có bản phát hành nào được lên kế hoạch cho repo MinIO và có thể phát hành mà không báo trước nếu cần" sang "giờ đây community edition chỉ phân phối mã nguồn". Nói cách khác, họ bảo rằng dự án mã nguồn mở bản thân nó chưa dừng, nhưng việc phân phối binary giờ chỉ còn giới hạn cho khách hàng Lịch sử thay đổi README