Docker が保守する、最小構成のコンテナイメージ。
- 不要なパッケージを削り（distroless 版はシェルもない）、デフォルトで非 root ユーザーで動く
- distroless: アプリ本体と実行に要るライブラリだけを入れ、シェル・パッケージマネージャ・OS ツールを抜いたイメージ。DHI の通常（runtime）版はこれにあたる
- シェルや apt が要るビルド・開発用には
-dev版が別にある。本番で中を調べるときはdocker debugでデバッグ用のコンテナを横付けする
- 継続的にスキャンとパッチを行い、既知の CVE をほぼゼロに保つ
- 署名付きの SBOM（中身の部品一覧）と provenance（どうビルドしたかの記録）が付く
- Community 版は無料（Apache 2.0）。CVE 修正の SLA などが付くのは有料版