"Distroless" se réfère au fait d'avoir une image dénuée du moindre outil UNIX tel que wget, sed, grep, cp, etc.
En pratique c'est compliqué parce que ces outils sont souvent nécessaire au démarrage du container pour le configurer en fonction de l'environnement dans lequel il tourne par exemple. Mais ces outils augmentent la surface d'attaque potentielle alors qu'ils ne sont pas utiles au delà des premières secondes de vie du container.
La solution se situe dans l'utilisation d'init container. Il s'agit d'un container standard qui n'aura pour but que d'effectuer cette configuration au démarrage, et il s'arrêtera ensuite.