【なぜ重要か】
Minimusは2026年10月22日にレジストリ（reg.mini.dev）を閉鎖し、以降イメージの更新は一切行われなくなる。既にプルしたイメージは動き続けるが、CVEが蓄積されても修正版は提供されない。Minimusを使用中のチームは、移行先を早急に選定する必要がある。
【ポイント】
- Aikido Security（推奨）: 既存のベースイメージをそのままパッチ適用する方式で、独自ディストリビューションへの移行が不要。2,000以上のドロップイン互換イメージを提供し、SBOM・VEX・SLSAプロベナンスを付帯。新バージョンへの強制アップグレードではなく、使用中のバージョンへのバックポートを最大限活用するため、アプリの動作への影響が最小限。EOL後のバージョンも継続パッチ対応。SAST・DAST・SCA・シークレット検出・クラウドポスチャも含む統合プラットフォームの一部として機能する。
- Chainguard: 独自ディストリビューション「Wolfi」上でイメージをスクラッチからリビルドする方式。Critical CVEに7日、それ以外に14日のSLAを設定。ただし採用にはWolfiへの移行が必要で、ダイジェストピン留めをすると修正が届かなくなる。古いバージョンは約12ヶ月で廃止される。
- Docker Hardened Images（DHI）: 2025年5月に開始し同年12月にApache 2.0でオープンソース化。Alpine・Debianをベースに独自ディストリビューション不要。ただしカタログはまだ浅く、FIPS・STIG・SLAは有償ティアに限定。コード・依存関係・IaCへのカバレッジはない。
- RapidFort: Alpine・Debian・Ubuntu・Red Hatなど標準LTSディストリビューション上に構築したハードイメージカタログに加え、ランタイムプロファイリングで未使用コンポーネントを除去する機能を持つ。FIPS・STIG・CIS対応で連邦・防衛向けに適している。ただしプロファイリングはコード変更のたびに再実施が必要で、設定ドリフトのリスクがある。
- Echo: AIエージェントでソースからイメージをコンパイルする新興ツール。シリーズA段階でカタログが小規模かつ実績が浅い。
【まとめ】
Minimusの閉鎖により移行は避けられないが、次の移行先を誤ると同じ問題が繰り返される。独自ディストリビューションへのロックインを避け、既存イメージへのバックポートで対応するAikido Securityが最も移行コストを抑えられる選択肢と評価されている。Minimusからの移行を検討しているチームは、ベンダーの継続性・カタログの幅・EOL後のパッチ対応・統合セキュリティカバレッジの有無を軸に選定することが推奨される。