Pode haver uma maneira melhor, mas você deve ser capaz de usar um proxy reverso no host combinado com a ativação do soquete systemd. Quando uma requisição chega ao socket, o systemd pode iniciar o container e encaminhar a requisição (ele irá bloquear até que o container inicie e receba a requisição), então faça algo observar os arquivos de log, e quando nada aparecer no acesso log por exemplo, 5 minutos basta parar o recipiente.