Distroless Image - CI/CD用語集の定義

distroless イメージには、アプリケーションとその runtime 依存関係のみが含まれ、パッケージマネージャー、shell、OS ユーティリティは含まれません。これによりイメージとその攻撃対象領域が縮小します。

トレードオフ

shell がないため、デバッグのために distroless container に docker exec することはできません。そのためチームはマルチステージビルドと組み合わせ、別途デバッグします。パッケージが少ないことは、スキャナーがフラグを立てる CVE も少ないことを意味します。