Distroless とは？

通常のコンテナイメージはUbuntuやDebianなどのLinuxディストリビューションを丸ごと含んでいるよね。Distrolessはそのディストリビューション部分——シェル、パッケージマネージャ（apt/yumなど）、各種ユーティリティ——を全部除いたイメージなんだよ。

セキュリティが格段に上がるんだよ。攻撃者がコンテナに侵入してもシェルがないから操作できないし、bashの脆弱性もaptの脆弱性も関係なくなるんだ。CVEの対象になるソフトウェアが激減するから、脆弱性スキャンの結果もずっとクリーンになるよ。

そうなんだよね。シェルがないのでコンテナに入って `ls` とか `cat` もできないんだ。だからDistrolessは本番環境専用と割り切って使う形が多いよ。開発・テスト用には通常のイメージを使って、本番だけDistrolessにするのが定番パターンだよ。

マルチステージビルドを使うんだよ。最初のステージ（builderステージ）で通常イメージを使ってコンパイルやビルドをして、最後のステージで `FROM gcr.io/distroless/java` などに切り替えてビルド成果物だけコピーするんだ。イメージサイズも劇的に小さくなるよ。

Java・Python・Node.js・Go・C/C++など主要な言語のランタイムがそれぞれ用意されているよ。Goのように静的バイナリを生成できる言語なら、ランタイムすら必要ない `distroless/static` という最も素の形も使えるんだ。