Ohne eigenes Dockerfile: fester Buildvertrag, signiertes Image, read-only Runtime und ein privater App-Runner.