Distroless Image
Distroless-Images enthalten nur die Laufzeitumgebung der Anwendung und ihre Abhängigkeiten – ohne Shell, Paketmanager oder Hilfsprogramme – und verringern so Größe und Angriffsfläche.
Zweck
Das Sicherheitsrisiko des Images minimieren, gemäß dem Prinzip der geringsten Rechte.
Mechanismus
Googles distroless-Basisimages liefern nur die Sprach-Runtime (Java/Python/Go) und die App-Abhängigkeiten mit. Ohne Shell gibt es kein Hinein-exec-en. Ohne Paketmanager lassen sich keine zusätzlichen Werkzeuge installieren. Kleinerer Footprint, weniger CVEs.
Anwendungsfälle
- Image-Sicherheit
- Minimierung
- Verringerung der Angriffsfläche