ニュース¶

Incus 6.0.5 LTS リリースのお知らせ¶

2025/08/15

はじめに ¶

Incus チームは、Incus 6.0.5 のリリースのアナウンスができてうれしいです!

このリリースは、Incus 6.0 に対する 5 度目のバグ修正リリースです。Incus 6.0 は 2029 年 6 月までサポートされます。

変更点 ¶

いつもどおり、このバグ修正リリースは、安定性とセキュリティー強化にフォーカスを当てています。

データの移行や、データベースの変更を必要としない、ユーザー側の動作に予期しない変更を起こさないようなマイナーな改善もバックポートされています。

このような改善の数は、LTS ブランチ内での時間経過とともに減っていくでしょう。

このリリースのハイライトは次のとおりです:

• VM でのメモリーホットプラグのサポート
• ロギングサブシステムの再構築
• 複雑なネットワーク転送での SNAT のサポート
• すべてのコレクションに対するサーバーサイドフィルタリングの CLI サポート
• VM での Windows エージェントサポート
• incus-migrate のサポートの改善（追加ディスクや OVA など…）
• カスタムストレージボリュームでの SFTP API サポート
• インスタンスを分割イメージとして公開する機能のサポート
• インスタンスとボリュームバックアップの S3 アップロード
• より柔軟なスナップショット設定

コミットのすべてのリストは次のとおりです（翻訳なし）:

パッケージ作成者への注意: Incus は、ACME サポートのロジックをすべて incusd バイナリー自体に組み込むのではなく、外部の lego コマンドに依存するようになりました。ACME 証明書の発行サポートを維持したい場合、Incus は lego に依存することに注意してください。

サポートとアップグレード ¶

Incus 6.0 ブランチは 2029 年 6 月までサポートされます。常に最新の LTS バグ修正リリースを実行することを強く推奨します。

Downloads¶

• リリース tarball : incus-6.0.5.tar.xz
• GPG シグネチャー」 : incus-6.0.5.tar.xz.asc

感謝 ¶

この LTS リリースアップデートは、Sovereign Tech Fund（現在は Sovereign Tech Agency の一部）からの資金提供により実現しました。

Sovereign Tech Fund は、オープンデジタルインフラストラクチャーの開発、改良、保守をサポートします。その目標は、セキュリティ、レジリエンス、技術の多様性、コードの背後にいる人々に焦点を当て、オープンソースエコシステムを持続的に強化することです。

詳細は https://www.sovereign.tech をご覧ください。

Incus 6.15 リリースのお知らせ¶

2025/08/01

はじめに ¶

Incus チームは、Incus 6.15 のリリースのアナウンスができてうれしいです!

このリリースは、アプリケーションコンテナに対する改良、VM、クラスタリング、ネットワーキング、さらにはいくつかの CLI の機能強化など、色々なものが少しずつ含まれたリリースです。

いつものように、オンラインでご自身で試せます: https://linuxcontainers.org/incus/try-it/

注目すべきは、Incus OS の開発も順調に進み、オンラインデモ環境の実行に使えるようになったということです。新しいダウンロードツールも作成しました。手順はこちらでご覧いただけます。

Enjoy!

新機能¶

OCI レジストリーの認証サポート ¶

Incus は、OCI レジストリーとのやりとりでクレデンシャルヘルパーの使用をサポートするようになりました。関連するヘルパーは、 incus remote add の新しい引数である --credentials-helper で指定できます。

stgraber@dakara:~$ incus remote add oci-demo https://northamerica-northeast1-docker.pkg.dev/stgraber-1525358518329/test-registry --protocol=oci --credentials-helper=docker-credential-gcloud·
stgraber@dakara:~$ incus image info oci-demo:alpine:latest
Fingerprint: ec1b05d1eac264d9204a57f4ad9d4dc35e9e756e9fedaea0674aefc7edb1d6a4
Size: 3.47MiB
Architecture: x86_64
Type: container
Public: yes
Timestamps:
    Created: 2025/02/13 22:28 EST
    Uploaded: 2025/02/13 22:28 EST
    Expires: never
    Last used: never
Properties:
    description: northamerica-northeast1-docker.pkg.dev/stgraber-1525358518329/test-registry/alpine (OCI)
    id: alpine:latest
    type: oci
    architecture: x86_64
Aliases:
    - alpine:latest
Cached: no
Auto update: disabled
Profiles: []

ロギングターゲットとしての Webhook ¶

最近、ロギングサブシステムの刷新に着手し、多様なフィルターを備えた複数のロガーをサポートしました。その一環として、既存の Loki サポートとともに、syslog サポートも導入しました。

今回のリリースでは、さらにもう 1 つのログインターゲットとして、シンプルな Webhook を追加しました。Webhook ロガーは、他の 2 つのロガーと同じ選択とフィルタリングオプションをサポートし、マッチしたイベントを JSON 形式でターゲットに送信します。JSON の構文はイベント API で使われているものと同じです。

stgraber@dakara:~$ incus config set logging.demo.target.address=http://127.0.0.1:8080/hook
stgraber@dakara:~$ incus config set logging.demo.target.type=webhook

これにより、ターゲットサーバーは次のようなイベントの受信を開始します:

POST /hook (application/json, 231 bytes)
{"type":"lifecycle","timestamp":"2025-07-31T23:34:12.714974583-04:00","metadata":{"action":"config-updated","source":"/1.0","requestor":{"username":"stgraber","protocol":"unix","address":"@"}},"location":"none","project":"default"}

ドキュメント: https://linuxcontainers.org/incus/docs/main/server_config/#server-options-logging

メモリーホットプラグの動作のより細かなコントロール ¶

いくつか前のリリースで、仮想マシンにメモリホットプラグを導入しました。
これに伴い、ホットプラグを通して VM に割り当てできる最大のメモリー量を決定する際に、いくつか問題が発生しました。

これは、少し扱いづらい可能性があります。物理的な制限（物理メモリーと仮想メモリーのアドレス空間サイズ）が存在すると同時に、正確に予測できないオーバーヘッドが存在するためです。過去数回のリリースで、ロジックをかなり調整し、大多数のユーザーにとって概ね正常に動作するようになっています。

そうはいっても、ホットプラグ可能なメモリー量を細かく制御する機能や、状況によってはこの機能を完全に無効化する機能も提供することが有益であることがわかりました。

そこで、インスタンス設定キー limits.memory.hotplug を導入しました。このキーには、VM にホットプラグされたメモリーを含むトータルのメモリー量を指定できます。0 に設定すると、この機能は完全に無効化されます。

stgraber@dakara:~$ incus config set d13 limits.memory.hotplug=0
stgraber@dakara:~$ incus start d13
stgraber@dakara:~$ incus config set d13 limits.memory=2GiB
Error: Failed updating memory limit: Memory hotplug feature is disabled

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/instance_options/#instance-resource-limits:limits.memory.hotplug

VM での永続的な CD-ROM 取り出し ¶

ゲスト OS で CD-ROM が取り出されたかどうかを追跡できるようになりました。
これは disk デバイスの新しい attached プロパティを通して行われ、メディアの取り出し後に自動的に false にセットされます。

stgraber@dakara:~$ incus config device add d13 virtio disk pool=default source=virtio-drivers
Device virtio added to d13

stgraber@dakara:~$ incus config show d13
architecture: x86_64
config:
  image.architecture: amd64
  image.description: Debian trixie amd64 (20250731_05:24)
  image.os: Debian
  image.release: trixie
  image.serial: "20250731_05:24"
  image.type: disk-kvm.img
  image.variant: default
  volatile.base_image: 340aab0e87de46062c1363cab4beb7d30d0474adceca5bf450b5162d8c2cc2c5
  volatile.cloud-init.instance-id: 5a79a550-143d-4db0-a223-74191e968ea3
  volatile.eth0.host_name: tap8ca1eb54
  volatile.eth0.hwaddr: 10:66:6a:8e:8e:93
  volatile.last_state.power: RUNNING
  volatile.uuid: af7f680b-7824-47ca-be9a-9189881ade90
  volatile.uuid.generation: af7f680b-7824-47ca-be9a-9189881ade90
  volatile.vm.definition: pc-q35-10.0
  volatile.vm.rtc_adjustment: "0"
  volatile.vm.rtc_offset: "-1"
  volatile.vsock_id: "1524898578"
devices:
  virtio:
    pool: default
    source: virtio-drivers
    type: disk
ephemeral: false
profiles:
- default
stateful: false
description: ""

stgraber@dakara:~$ incus exec d13 -- eject /dev/cdrom

stgraber@dakara:~$ incus config show d13
architecture: x86_64
config:
  image.architecture: amd64
  image.description: Debian trixie amd64 (20250731_05:24)
  image.os: Debian
  image.release: trixie
  image.serial: "20250731_05:24"
  image.type: disk-kvm.img
  image.variant: default
  volatile.base_image: 340aab0e87de46062c1363cab4beb7d30d0474adceca5bf450b5162d8c2cc2c5
  volatile.cloud-init.instance-id: 5a79a550-143d-4db0-a223-74191e968ea3
  volatile.eth0.host_name: tap8ca1eb54
  volatile.eth0.hwaddr: 10:66:6a:8e:8e:93
  volatile.last_state.power: RUNNING
  volatile.uuid: af7f680b-7824-47ca-be9a-9189881ade90
  volatile.uuid.generation: af7f680b-7824-47ca-be9a-9189881ade90
  volatile.vm.definition: pc-q35-10.0
  volatile.vm.rtc_adjustment: "0"
  volatile.vm.rtc_offset: "-1"
  volatile.vsock_id: "1524898578"
devices:
  virtio:
    attached: "false"
    pool: default
    source: virtio-drivers
    type: disk
ephemeral: false
profiles:
- default
stateful: false
description: ""

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_disk/#devices-disk:attached

VM ディスクデバイスの設定可能な WWN ¶

かなりニッチな機能ですが、VM ディスクデバイスのワールドワイドネーム（WWN）を設定できるようになりました。これは virtio-scsi バスにアタッチされているときだけサポートされます。

これは、物理 LUN やディスクを VM 内にパススルー接続するとき、一部のアプリケーションで役立つかもしれません。またこの機能は、複数のディスクを同じ WWN に設定することで、VM 内のストレージマルチパスをテストする方法としても使用できます。

stgraber@dakara:~$ incus launch images:debian/13 d13 --vm
Launching d13
stgraber@dakara:~$ incus storage volume create default demo --type=block
Storage volume demo created
stgraber@dakara:~$ incus config device add d13 demo disk pool=default source=demo wwn=0x50014ee20ce3848a
Device demo added to d13
stgraber@dakara:~$ incus exec d13 bash
root@d13:~# ls -lh /dev/disk/by-id/wwn-0x50014ee20ce3848a·
lrwxrwxrwx 1 root root 9 Aug  1 03:49 /dev/disk/by-id/wwn-0x50014ee20ce3848a -> ../../sdb

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_disk/#devices-disk:wwn

ダイナミック IPv6 ネットワークアドレス ¶

非常に限定的なユースケースのみに関係する、もう 1 つの小さな新機能です。

クラスターを実行しているとき、OVN コントロールプレーン、Ceph コンポーネント、モニタリングスタックなど、複数のサポートサービスを実行する必要があることがよくあります。

これらのサービスを適切に動作させるには、クラスター内のすべてのサーバーから均等にアクセス可能であり、さらにメンテナンスとサーバー障害の両方に対応できるように、サーバー間で簡単に再配置可能である必要があります。通常は、これは物理ネットワーク上にルーターを設置し、すべてのサーバーからアクセス可能なように VLAN を提供することで実現できますが、すべての環境で実現できるとは限りません。

そこで私たちの解決策は、クラスター内に通常のブリッジネットワークを作成し、既存のマルチキャスト VXLAN サポートと組み合わせることで、クラスター全体で利用できる非常に軽量な仮想ネットワークを構築することでした。

するとアドレス割り当ての問題が発生します。かなりのサーバー間の調整が必要になるため、通常の IPv4 DHCP を実行できません。しかし、MAC アドレスから生成される IPv6 SLAAC は使用できます。

しかし、これを正しく動作させるには、各サーバーがブリッジに対して異なる MAC アドレスを使用し、さらに重要なことに、同一サブネット内で異なる IPv6 アドレスを使用する必要があることです。

これを実現するために、ipv6.address の構文を拡張し、サブネットのみを指定できるようにしました。この場合、サーバーはブリッジ固有な MAC アドレスを生成し、そこから EUI64 を使用して自身の IPv6 アドレスを生成します。

この結果、次のようになります:

root@server01:~# incus network create meshbr0 tunnel.mesh.interface=enp5s0 --target server01
Network meshbr0 pending on member server01
root@server01:~# incus network create meshbr0 tunnel.mesh.interface=enp5s0 --target server02
Network meshbr0 pending on member server02
root@server01:~# incus network create meshbr0 tunnel.mesh.interface=enp5s0 --target server03
Network meshbr0 pending on member server03
root@server01:~# incus network create meshbr0 tunnel.mesh.interface=enp5s0 --target server04
Network meshbr0 pending on member server04
root@server01:~# incus network create meshbr0 ipv4.address=none ipv6.address=fd42:1234:1234:1234::/64 ipv6.nat=false tunnel.mesh.protocol=vxlan
Network meshbr0 created

root@server01:~# incus launch images:debian/13 c1 --network meshbr0
Launching c1
root@server01:~# incus launch images:debian/13 c2 --network meshbr0
Launching c2
root@server01:~# incus launch images:debian/13 c3 --network meshbr0
Launching c3

root@server01:~# incus list
+------+---------+------+------------------------------------------------+-----------+-----------+----------+
| NAME |  STATE  | IPV4 |                      IPV6                      |   TYPE    | SNAPSHOTS | LOCATION |
+------+---------+------+------------------------------------------------+-----------+-----------+----------+
| c1   | RUNNING |      | fd42:1234:1234:1234:1266:6aff:fe60:6aa9 (eth0) | CONTAINER | 0         | server04 |
+------+---------+------+------------------------------------------------+-----------+-----------+----------+
| c2   | RUNNING |      | fd42:1234:1234:1234:1266:6aff:fef8:b9ef (eth0) | CONTAINER | 0         | server04 |
+------+---------+------+------------------------------------------------+-----------+-----------+----------+
| c3   | RUNNING |      | fd42:1234:1234:1234:1266:6aff:fe21:1203 (eth0) | CONTAINER | 0         | server01 |
+------+---------+------+------------------------------------------------+-----------+-----------+----------+
root@server01:~# incus exec c3 bash
root@c3:~# ping6 -n fd42:1234:1234:1234:1266:6aff:fe60:6aa9
PING fd42:1234:1234:1234:1266:6aff:fe60:6aa9 (fd42:1234:1234:1234:1266:6aff:fe60:6aa9) 56 data bytes
64 bytes from fd42:1234:1234:1234:1266:6aff:fe60:6aa9: icmp_seq=1 ttl=64 time=1.38 ms
^C
--- fd42:1234:1234:1234:1266:6aff:fe60:6aa9 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 1.375/1.375/1.375/0.000 ms

CLI で設定可能なキープアライブモード ¶

Incus CLI には、少し前からキープアライブモードが搭載されていました。
これにより、CLI が終了したあとも、リモートの Incus サーバーとの接続をアクティブに保てるので、後続のコマンドの実行が大幅に向上します。

リモートサーバーを追加する際、バックグラウンドプロセスに対するタイムアウトを --keepalive 引数に渡すことで、この機能を有効にできるようになりました。

stgraber@dakara:~$ incus remote add cloud https://shf.cloud.zabbly.com --keepalive=30
URL: https://sso.zabbly.com/realms/master/device?user_code=WGSI-NFRG
Code: WGSI-NFRG

stgraber@dakara:~$ incus list cloud: --project demo
+-----------+---------+-------------------------+---------------------------------------------------+-----------------+-----------+----------+
|   NAME    |  STATE  |          IPV4           |                       IPV6                        |      TYPE       | SNAPSHOTS | LOCATION |
+-----------+---------+-------------------------+---------------------------------------------------+-----------------+-----------+----------+
| haproxy01 | RUNNING | 45.45.148.243 (eth0)    | 2602:fc62:b:8006:216:3eff:fe27:a8f4 (eth0)        | CONTAINER       | 0         | delmak   |
|           |         | 10.22.45.7 (eth0)       | 2602:fc62:b:8006:1::1 (eth0)                      |                 |           |          |
+-----------+---------+-------------------------+---------------------------------------------------+-----------------+-----------+----------+
| ic-test   | RUNNING | 10.47.238.2 (eth0)      | fd42:4a11:5600:6807:216:3eff:feb5:2c79 (eth0)     | CONTAINER       | 0         | chulak   |
+-----------+---------+-------------------------+---------------------------------------------------+-----------------+-----------+----------+
| server01  | RUNNING | 10.46.12.1 (br-managed) | fd42:ea64:f916:62b0::1 (br-managed)               | VIRTUAL-MACHINE | 0         | chulak   |
|           |         | 10.22.45.3 (enp5s0)     | fd42:1234:1234:1234:1266:6aff:fe6b:48d2 (meshbr0) |                 |           |          |
|           |         |                         | 2602:fc62:b:8006:216:3eff:fe1a:ed0d (enp5s0)      |                 |           |          |
+-----------+---------+-------------------------+---------------------------------------------------+-----------------+-----------+----------+
| server02  | RUNNING | 10.46.12.1 (br-managed) | fd42:ea64:f916:62b0::1 (br-managed)               | VIRTUAL-MACHINE | 0         | chulak   |
|           |         | 10.22.45.4 (enp5s0)     | fd42:1234:1234:1234:1266:6aff:fea1:6d39 (meshbr0) |                 |           |          |
|           |         |                         | 2602:fc62:b:8006:216:3eff:fe56:5276 (enp5s0)      |                 |           |          |
+-----------+---------+-------------------------+---------------------------------------------------+-----------------+-----------+----------+
| server03  | RUNNING | 10.46.12.1 (br-managed) | fd42:ea64:f916:62b0::1 (br-managed)               | VIRTUAL-MACHINE | 0         | chulak   |
|           |         | 10.22.45.5 (enp5s0)     | fd42:1234:1234:1234:1266:6aff:fe14:8b09 (meshbr0) |                 |           |          |
|           |         |                         | 2602:fc62:b:8006:216:3eff:fec6:eaa8 (enp5s0)      |                 |           |          |
+-----------+---------+-------------------------+---------------------------------------------------+-----------------+-----------+----------+
| server04  | RUNNING | 10.46.12.1 (br-managed) | fd42:ea64:f916:62b0::1 (br-managed)               | VIRTUAL-MACHINE | 0         | chulak   |
|           |         | 10.22.45.6 (enp5s0)     | fd42:1234:1234:1234:1266:6aff:fef0:2a72 (meshbr0) |                 |           |          |
|           |         |                         | 2602:fc62:b:8006:216:3eff:fea3:6d (enp5s0)        |                 |           |          |
+-----------+---------+-------------------------+---------------------------------------------------+-----------------+-----------+----------+

stgraber@dakara:~$ ps aux | grep remote.*proxy
stgraber 1411159  0.1  0.0 6258948 26704 ?       Ssl  00:19   0:00 incus remote proxy cloud /home/stgraber/.config/incus/keepalive/cloud.socket --timeout=30

CLI の出力フォーマットでの Markdown サポート ¶

リスト出力を直接 Markdown フォーマットで直接出力できるようになりました。ドキュメントやこのサイトに組み込むのが簡単になりました。

stgraber@dakara:~$ incus list --format=markdown
|    NAME     |  STATE  |          IPV4          |                     IPV6                     |      TYPE       | SNAPSHOTS |
|:-----------:|:-------:|:----------------------:|:--------------------------------------------:|:---------------:|:---------:|
|     d13     | RUNNING | 172.17.250.33 (enp5s0) | 2602:fc62:c:250:1266:6aff:fe8e:8e93 (enp5s0) | VIRTUAL-MACHINE |     0     |
|  incus-os   | RUNNING | 10.87.35.1 (incusbr0)  |      fd42:6060:5090:8d31::1 (incusbr0)       | VIRTUAL-MACHINE |     0     |
|             |         |                        | 2602:fc62:c:250:1266:6aff:fe91:c98 (enp5s0)  |                 |           |
| kernel-test | STOPPED |                        |                                              | VIRTUAL-MACHINE |     0     |
|   win2025   | STOPPED |                        |                                              | VIRTUAL-MACHINE |     0     |

The markdown rendered version of this looks like:

サーバーサイドフィルタリングの追加 ¶

このリリースで、API オブジェクトのサーバーサイドフィルタリングに対する CLI サポートが完成しました。

次の 2 つのコマンドでフィルタリングがサポートされるようになりました:

• incus cluster list
• incus storage list

ネットワーク設定で netlink を使用するように変更 ¶

これは新機能ではありません。しかしかなり大きな変更点です。
このリリースで、iproute2 コマンド（ip、tc など）を使ったすべての呼び出しを、すべて netlink API を通して Linux カーネルと直接やりとりするように変更しました。

これにより、オーバーヘッドが大幅に削減され、ツールのさまざまなバージョンに対応する必要がなくなりました。しかし、この手の大きな変更にはリグレッションのリスクが伴います。

このような理由で、6.14 リリース直後に変更を行い、リグレッションの検出と修正に丸々 1 ヶ月の期間を設けました。これまでに 6 件のリグレッションを検出し、すべてを解決しました。しかし、テストで検出できなかったリグレッションがまだ存在する可能性があります。

ネットワークインターフェースやルーティングの設定に関して、リグレッションやふるまいの変化に気づいた場合はお知らせください。調査します。

すべての変更点 ¶

このリリースのすべての変更のリストは次の通りです（翻訳なし）:

ドキュメント ¶

Incus のドキュメントはこちらです:
https://incus-ja.readthedocs.io/ja/latest/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/ （原文）

パッケージ ¶

Incus の開発元は、通常リリースの tarball のみをリリースするため、公式の Incus パッケージはありません。Incus を実行するために使えるオプションを以下にいくつか示します。

Linux 上に Incus サーバーをインストールする ¶

Incus はほとんどの一般的な Linux ディストリビューションで利用できます。インストール手順の詳細は、Incus のドキュメントを参照してください。

https://incus-ja.readthedocs.io/ja/latest/installing/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/installing/ （原文）

Incus クライアントの Homebrew パッケージ ¶

Homebrew 経由で、Linux と macOS 向けにクライアントツールが利用できます。

https://formulae.brew.sh/formula/incus

Incus クライアントの Chocolatey パッケージ ¶

Chocolatey 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://community.chocolatey.org/packages/incus/6.15.0

Incus クライアントの Winget パッケージ ¶

Winget 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://winstall.app/apps/LinuxContainers.Incus

サポート ¶

月次のフィーチャーリリースは、次のリリースがリリースされるまでのみサポートされます。より長いサポート期間と少ない変更頻度が必要な場合、代わりに Incus 6.0 LTS の使用を検討すべきです。

コミュニティサポートはこちらから : https://discuss.linuxcontainers.org
商用サポートはこちらから : https://zabbly.com/incus
バグはこちらから報告できます : https://github.com/lxc/incus/issues

Incus 6.14 リリースのお知らせ¶

2025/06/28

はじめに ¶

Incus チームは、Incus 6.14 のリリースのアナウンスができてうれしいです!

このリリースは、University of Texas の学生との作業のいくつかを終え、いくつかの小さな機能を追加した、多数の歓迎すべきバグ修正とパフォーマンスの改良を加えた軽量なリリースです。

また、nftables とネットワーク隔離で使用したブリッジネットワークのネットワーク ACL を使用するユーザーに影響するセキュリティ上の問題をいくつか修正しています。

いつものように、オンラインでご自身で試せます: https://linuxcontainers.org/incus/try-it/

Enjoy!

セキュリティ修正 ¶

このリリースでは、ANSSI（French Cybersecurity Agency）の Olivier BAL-PETRE によって報告された 2 つのセキュリティ問題が修正されています。

どちらの問題も、ファイアウォール用の nftables を使い、ネットワーク隔離機能の一部と組み合わせて、ローカルブリッジ上で Incus のネットワーク ACL を使用することに関連する問題です。

最近の Incus 6.12 での ACL ロジックの変更により、分離の一部がバイパスされ、その環境内の root が DoS 攻撃を引き起こしたり、ホストを偽装して同じネットワークを共有するインスタンスからのトラフィックの一部を傍受したりできました。

• CVE-2025-52890 (Incus がセキュリティオプションの一部をバイパスする nftables ルールを作成する )
• CVE-2025-52889 (Incus の制限なしのリソース割り当てにより、管理ブリッジネットワークでファイアウォールルールをバイパスできる )

前述の通り、影響を受けるバージョンは Incus 6.12 と 6.13 です。どちらも定期的なマンスリーリリースであり、Incus 6.14 以降はサポートされません。
最新の LTS リリースはこの問題の影響を受けません。

新機能 ¶

インスタンスとボリュームバックアップの S3 アップロード ¶

インスタンスとストレージボリュームのバックアップを S3 バケットに自動的にアップロードできるようになりました。この機能は、システムバックアップを取る時に興味を引く機能であるため、現時点では API 経由でのみ利用できます。

Incus は通常通りバックアップを作成し、ローカルコピーを削除する前に、すぐにターゲットとなるバケットにバックアップのアップロードを開始します。

stgraber@dakara:~$ incus launch images:alpine/edge a1
Launching a1
stgraber@dakara:~$ incus query -X POST /1.0/instances/a1/backups -d '{"optimized_storage": true, "target": {"protocol": "s3", "url": "https://storage.googleapis.com", "bucket_name": "incus_backups", "path": "my-backup.tar.gz", "access_key": "ACCESS-KEY", "secret_key": "SECRET-KEY"}}' --wait
{
    "class": "task",
    "created_at": "2025-06-28T13:46:21.781378949-04:00",
    "description": "Backing up instance",
    "err": "",
    "id": "89936d87-25b3-44d2-930e-92b579cc2ee0",
    "location": "none",
    "may_cancel": false,
    "metadata": null,
    "resources": {
        "backups": [
            "/1.0/instances/a1/backups/backup0"
        ],
        "instances": [
            "/1.0/instances/a1"
        ]
    },
    "status": "Success",
    "status_code": 200,
    "updated_at": "2025-06-28T13:46:21.781378949-04:00"
}

これは University of Texas in Austin の学生による作業です。

スナップショット作成時の有効期限のカスタマイズ ¶

incus snapshot create と incus storage volume snapshot create コマンドの両方に、--expiry フラグが追加されました。これにより、スナップショット作成時に有効期限を直接指定できるようになり、サーバー側で設定されているデフォルト値を上書きできるようになりました。

stgraber@dakara:~$ incus snapshot create a1 foo --expiry=2d
stgraber@dakara:~$ incus snapshot list a1
+------+----------------------+----------------------+----------+
| NAME |       TAKEN AT       |      EXPIRES AT      | STATEFUL |
+------+----------------------+----------------------+----------+
| foo  | 2025/06/28 13:50 EDT | 2025/06/30 13:50 EDT | NO       |
+------+----------------------+----------------------+----------+

手動で作成するスナップショットのデフォルト有効期限の変更 ¶

snapshots.expiry.manual を使い、スナップショットのデフォルト有効期限を変更できるようになりました。この設定が指定されていない場合、Incus は、スケジュールされたスナップショットで使用する snapshot.expiry の値を自動的に適用します。

stgraber@dakara:~$ incus config set a1 snapshots.expiry=7d
stgraber@dakara:~$ incus snapshot create a1 first
stgraber@dakara:~$ incus config set a1 snapshots.expiry.manual=2d
stgraber@dakara:~$ incus snapshot create a1 second
stgraber@dakara:~$ incus snapshot list a1
+--------+----------------------+----------------------+----------+
|  NAME  |       TAKEN AT       |      EXPIRES AT      | STATEFUL |
+--------+----------------------+----------------------+----------+
| first  | 2025/06/28 13:53 EDT | 2025/07/05 13:53 EDT | NO       |
+--------+----------------------+----------------------+----------+
| second | 2025/06/28 13:54 EDT | 2025/06/30 13:54 EDT | NO       |
+--------+----------------------+----------------------+----------+

ライブマイグレーションの調整と進捗報告 ¶

メモリーを頻繁に変更する VM のマイグレーション時間を減らすため、メモリー転送ロジックにいくつか調整を加えました。

Incus は、マイグレーションする VM の CPU をより積極的にスロットルするようになりました。最初の試行後 50% のスロットルを適用し、変更がより高いレートで検出されると、徐々に制限値を下げていきます。

これに加え、Incus はメモリーマイグレーションの進捗も提供します。

resource API での CPU アドレスサイズの報告 ¶

CPU やプラットフォームが異なれば、メモリーを指定するための物理アドレスと仮想アドレスサイズも異なります。

これは、起動時やホットプラグ後、仮想マシンで利用できるメモリーの総量に影響します。

このため、Incus は VM 内でホットプラグ可能なメモリーの最大量を調整するために、これらの値を追跡し続ける必要があります。

stgraber@castiana:~$ incus query /1.0/resources | jq .cpu.sockets[0].address_sizes
{
  "physical_bits": 48,
  "virtual_bits": 48
}

データベースロジックのコードジェネレーターへの移動 ¶

さまざまなネットワークオブジェクトについて、そのデータベース関数にコードジェネレーターを使うようにする移行作業が完了しました。

このリリースでは、次の 2 つのオブジェクトが変換されました:

• ネットワークフォワード
• ネットワークピア

これは University of Texas in Austin の学生による作業です。

すべての変更点 ¶

このリリースのすべての変更のリストは次の通りです（翻訳なし）:

ドキュメント ¶

Incus のドキュメントはこちらです:
https://incus-ja.readthedocs.io/ja/latest/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/ （原文）

パッケージ ¶

Incus の開発元は、通常リリースの tarball のみをリリースするため、公式の Incus パッケージはありません。Incus を実行するために使えるオプションを以下にいくつか示します。

Linux 上に Incus サーバーをインストールする ¶

Incus はほとんどの一般的な Linux ディストリビューションで利用できます。インストール手順の詳細は、Incus のドキュメントを参照してください。

https://incus-ja.readthedocs.io/ja/latest/installing/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/installing/ （原文）

Incus クライアントの Homebrew パッケージ ¶

Homebrew 経由で、Linux と macOS 向けにクライアントツールが利用できます。

https://formulae.brew.sh/formula/incus

Incus クライアントの Chocolatey パッケージ ¶

Chocolatey 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://community.chocolatey.org/packages/incus/6.14.0

Incus クライアントの Winget パッケージ ¶

Winget 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://winstall.app/apps/LinuxContainers.Incus

サポート ¶

月次のフィーチャーリリースは、次のリリースがリリースされるまでのみサポートされます。より長いサポート期間と少ない変更頻度が必要な場合、代わりに Incus 6.0 LTS の使用を検討すべきです。

コミュニティサポートはこちらから : https://discuss.linuxcontainers.org
商用サポートはこちらから : https://zabbly.com/incus
バグはこちらから報告できます : https://github.com/lxc/incus/issues

Incus 6.13 リリースのお知らせ¶

2025/05/30

はじめに ¶

Incus チームは、Incus 6.13 のリリースのアナウンスができてうれしいです!

このリリースは、さまざまな規模やユーザーに向けた多数の新機能が盛り込まれた非常に充実したリリースです。誰にとっても何かがあるはずです!

いつものように、オンラインでご自身で試せます: https://linuxcontainers.org/incus/try-it/

Enjoy!

新機能 ¶

Windows エージェントのサポート ¶

Incus VM エージェントのロジックは、Linux 以外のオペレーティングシステム上でビルドできるようにリファクタリングされました。そして、Windows 用のエージェントが初期実装されました。

残念ながら、Windows にはまだ、Incus が通常エージェントとの通信に利用する vsock 通信メカニズム用の署名済み VirtIO ドライバーがないため、これはまだかなり初期の取り組みです。

幸いなことに、vsock で使っているプロトコルは HTTPS なので、代わりに VM へ直接（ネットワーク経由で） HTTPS を使えました。これは、Incus は Windows VM の IP アドレスを把握しており、その IP アドレスに Incus ホストから直接アクセスできる場合のみ動作します。将来的には、これをネイティブの vsock 接続に置き換える予定です。

サポートされている機能としては、incus exec を通してコマンドを実行したり、incus info で OS の詳細を取得したり、incus file でファイルを転送したりすることができるようになります。

これを動作させるには通常、source=agent:config ディスクデバイスを Windows VM に追加する必要があります。これにより、（ホストディストリビューションでパッケージ化されている場合）Windows エージェントと、必要な構成ファイルを含む CD-ROM ドライブが提供されます。

その時点から、そこから手動で直接エージェントを起動するか、手動でシステムサービスを追加できます。

Windows の経験がある方で、CD-ROM ドライブに含めることができるインストール PowerShell を通して、エクスペリエンスを磨き上げてくれる方を歓迎します。また、エージェント自体の Windows ビルドを Linux 版と完全に同等にするための作業も歓迎します。

この数ヶ月にわたる取り組みは、Sovereign Tech Fund からの資金提供により実現しました。

incus-migrate の改良 ¶

スタンドアローンツールである incus-migrate にかなりの改良が加えられました。

なお、このツールは Incus コンテナや VM に変換する必要があるリモートサーバー上、または Incus にインポートする必要がある既存のコンテナや VM を実行しているリモートサーバー上で実行できます。

このリリースで、incus-migrate に次のサポートを追加しました:

• ファイルシステムツリーやディスクイメージを新しいカスタムボリュームとしてアップロードする
• 新しいインスタンスの一部として追加のディスクやファイルシステムをインポートする
• OVA イメージを新しいインスタンスとしてインストールする
• Incus サーバーがクラスターの場合、特定のサーバーやクラスターグループを選択する

incus-migrate のスタティックビルドが GitHub上で取得できます。これは Incus を実行していないシステムを変換する時に役に立ちます。

カスタムボリューム上の SFTP ¶

インスタンスの場合と同様のファイル API をサポートするために、徐々にカスタムストレージボリューム（ファイルシステム各種）を取得しようとしています。

その第一歩として、Incus はそれらのボリューム上の SFTP 操作をサポートするようになりました。これは、現時点では incus storage volume file mount コマンドに相当します。残りの API とコマンドは Incus 6.14 でサポートされる予定です。

これは University of Texas in Austin の学生による作業です。

OVN ネットワーク上の設定可能なインスタンス外部 IP アドレス ¶

新しい NIC の設定キーを 2 つ追加しました:

• ipv4.address.external
• ipv6.address.external

これは、インスタンス起点の外部トラフィックに使う IP アドレスを設定するのに使えます。通常、これはネットワークの外部アドレス（デフォルト）か、インスタンスを指すネットワーク転送アドレスのいずれかです。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_nic/#nictype-ovn

これは University of Texas in Austin の学生による作業です。

OVN ネットワークのゲートウェイ MAC アドレスを固定する機能 ¶

OVN は MAC バインディングのリスト、つまり IP アドレスと MAC アドレスのマッピング（ARP テーブルや NDP テーブルに相当）を管理します。これは通常、OVN が特定のアドレスと通信する必要があるときに作成され、データベースに保存されます。

VRRP や同様の仮想 MAC アドレスで動作するネットワークでは、ゲートウェイの予想される MAC アドレスを事前に設定し、OVN が保持する必要がある場合があるため、これは必ずしも理想的ではありません。

このような場合のために、physical タイプの OVN アップリンクネットワークに設定できる 2 つの新しい設定キーが追加されました:

• ipv4.gateway.hwaddr
• ipv6.gateway.hwaddr

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/network_physical/

これは University of Texas in Austin の学生による作業です。

仮想マシン内のクロック処理 ¶

Incus は、移行しないことが想定されている仮想マシンに invtsc QEMU オプションを自動的に設定するようになりました。

さらに、Incus は VM の RTC クロックを永続化するために、QEMU から送出される RTC イベントをリッスンするようになりました。これにより、Windows VM だけでなく、UTC ハードウェアクロックに依存しない他の VM の処理も改善できます。

新しい get-client-certificate と get-client-token コマンド ¶

CLI に新たに incus remote get-client-certificate と incus remote get-client-token コマンドが追加されました。これにより、クライアント証明書の抽出やクライアント証明書からの JWT の発行が簡単になるため、スクリプト作成に役立ちます。

これは University of Texas in Austin の学生による作業です。

OCI での DHCPv6 サポート ¶

OCI コンテナで使用されるビルトインの DHCP クライアントは、ステートフルとステートレスの両方の DHCPv6 に対応できるようになりました。

これは University of Texas in Austin の学生による作業です。

routed NIC のネットワークホストテーブルの設定 ¶

Incus は routed NIC デバイスをどのルーティングテーブルに配置するかの制御をサポートしていますが、少し柔軟性に欠けていました。

代わりに、いくつか新しい設定キーが追加されました:

• ipv4.host_tables
• ipv6.host_tables

ルートを保存するテーブルのカンマ区切りのリストを設定できます。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_nic/#nictype-routed

これは University of Texas in Austin の学生による作業です。

Support for split image publishing¶

これまで、incus publish を実行すると、生成されるイメージは常に統合タイプのイメージでした。つまり、通常はルートディスクと Incus の設定の両方を含む圧縮された tarball 形式の単一ファイルでした。

しかし、分割イメージの生成をサポートするようになりました。分割イメージは、Incus 固有のメタデータとルートディスクデータの 2 つのファイルを生成します。

CLI では、incus publish に --format=split を与えて制御します。

これは University of Texas in Austin の学生による作業です。

事前に与える証明書 ¶

Incus サーバーに事前に与える構成ファイルに証明書を含めることができるようになりました。

次のようになります:

certificates:
  - type: client
    name: my-client
    certificate: |-
      PEM ENCODED CERTIFICATE

この機能は、Incus OS のようなシステムを自動的にプロビジョニングするときに役立ちます。

これは University of Texas in Austin の学生による作業です。

リスト形式の設定 ¶

Incus CLI の設定ファイル（通常は ~/.config/incus/config.yml）で、優先するリストの出力フォーマットを選択できるようになりました。

たとえば、次のようになります:

defaults:
  list_format: compact

これは list コマンドに --format=compact を渡すのと同じです。

これは University of Texas in Austin の学生による作業です。

create/add、delete/remove/rm のエイリアスの追加 ¶

Incus CLI は次のようにデザインされています:

• 重要な状態を持っているオブジェクトは create したあと、delete しなければなりません
• 状態がほとんどないか、全くないオブジェクトは added したあと、removed します

これは、特定のアクションに関係したリスクの一部を伝えることを目的にしていますが、一貫性を欠いている印象を与え、Incus のスクリプトの作成が少し難しくなる可能性があります。

この問題を解決するために、CLI に多数のエイリアスを追加しました。これにより、必要なコマンドを見つけられる可能性が大幅に高まります。

これは University of Texas in Austin の学生による作業です。

マニュアルで記述していた DB 関数のコードジェネレーターへの移行 ¶

Incus のコードベースには、データベースへのアクセス関数用のコードジェネレーターが含まれています。
これは、動作の一貫性を保証することと、データベースクエリーを手動で記述する際に起こりやすいイージーミスを防ぐのに非常に役立ちます。

すべての新しいデータベーステーブルでジェネレーターを使うことは事実上の要件ですが、まだジェネレーターを使用していないオブジェクトがかなりあります。

このリリースでは、次のオブジェクトの生成された関数への移行が完了しました:

• ネットワーク ACL
• ネットワークロードバランサー
• ネットワークゾーン

すべてのテストはパスしていますが、この手のリファクタリングは簡単には気づけないリグレッションを起こすリスクが高いです。Incus 6.13 で、これらのオブジェクトの動作に通常と異なる変化に気づいた場合は問題報告をください。調査します。

これは University of Texas in Austin の学生による作業です。

サーバーサイドフィルタリング ¶

このリリースでは、Incus 全体を通して可能な限りサーバーサイドフィルタリングを使う取り組みを継続しています。

このリリースで、次がサポートされました:

• incus network list
• incus storage bucket list
• incus project list
• incus config trust list

これは University of Texas in Austin の学生による作業です。

コードから生成するドキュメント ¶

設定キーが関係するすべての場所でドキュメントを自動生成する実装を行う取り組みを続けています。今回のリリースでは、次の項目が自動生成されるようになりました:

• PCI デバイス
• OVN ネットワーク
• 物理ネットワーク
• SR-IOV ネットワーク
• Macvlan ネットワーク

これは University of Texas in Austin の学生による作業です。

Incus OS 上の Incus メトリクスと統合された OS メトリクス ¶

Incus OS 上で Incus を実行すると、（node-exporter からの）ホストメトリクスが Incus のメトリクス API に自動的に含まれるようになりました。

これは、Incus OS が可能な限り開いているポート数を制限しようとし、すべてのトラフィックを単一のスタック（Incus 自身）を通して認証・認可しようとするために行われます。

パッケージャーに向けた注意 ¶

外部の umoci コマンドの使用から、Go パッケージを使用するように変更しました。

新しい Windows エージェントのサポートを受けるには、エージェントを Windows 用にビルドし、通常の Linux 用と共に、Incus で利用できるようにする必要があります。

すべての変更点 ¶

このリリースのすべての変更のリストは次の通りです（翻訳なし）:

ドキュメント ¶

Incus のドキュメントはこちらです:
https://incus-ja.readthedocs.io/ja/latest/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/ （原文）

パッケージ ¶

Incus の開発元は、通常リリースの tarball のみをリリースするため、公式の Incus パッケージはありません。Incus を実行するために使えるオプションを以下にいくつか示します。

Linux 上に Incus サーバーをインストールする ¶

Incus はほとんどの一般的な Linux ディストリビューションで利用できます。インストール手順の詳細は、Incus のドキュメントを参照してください。

https://incus-ja.readthedocs.io/ja/latest/installing/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/installing/ （原文）

Incus クライアントの Homebrew パッケージ ¶

HomeBrew 経由で、Linux と macOS 向けにクライアントツールが利用できます。

https://formulae.brew.sh/formula/incus

Incus クライアントの Chocolatey パッケージ ¶

Chocolatey 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://community.chocolatey.org/packages/incus/6.13.0

Incus クライアントの Winget パッケージ ¶

Winget 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://winstall.app/apps/LinuxContainers.Incus

サポート ¶

月次のフィーチャーリリースは、次のリリースがリリースされるまでのみサポートされます。より長いサポート期間と少ない変更頻度が必要な場合、代わりに Incus 6.0 LTS の使用を検討すべきです。

コミュニティサポートはこちらから : https://discuss.linuxcontainers.org
商用サポートはこちらから : https://zabbly.com/incus
バグはこちらから報告できます : https://github.com/lxc/incus/issues

Incus 6.12 リリースのお知らせ¶

2025/04/25

はじめに ¶

Incus チームは、Incus 6.12 のリリースのアナウンスができてうれしいです!

このリリースには、仮想マシンメモリーのオンライン拡張、ネットワーク ACL をより簡単にするネットワークアドレスセット、ロギングの改良などの期待されたいくつかの改良点が含まれています。

新機能に加えて、このリリースには多数のスナップショットを持つシステムに特にうれしいパフォーマンスの改善や、ZFS を使うシステム向けのさらなるパフォーマンス強化もかなり行われています。

いつものように、オンラインでご自身で試せます: https://linuxcontainers.org/incus/try-it/

Enjoy!

新機能 ¶

ネットワークアドレスセット ¶

複雑なネットワーク ACL ルールの管理を簡単にするために、Incus はアドレスセットをサポートするようになりました。

アドレスセットは、ACL と同様にプロジェクトにひもづけられ、それぞれのセットは IPv4 と IPv6 アドレスを含めることができます。セットは ACL のソースとデスティネーションフィールドから参照できます。

stgraber@dakara:~$ incus network address-set create cloudflare-dns
Network address set cloudflare-dns created
stgraber@dakara:~$ incus network address-set add cloudflare-dns 1.0.0.1
stgraber@dakara:~$ incus network address-set add cloudflare-dns 1.1.1.1
stgraber@dakara:~$ incus network address-set add cloudflare-dns 2606:4700:4700::1001
stgraber@dakara:~$ incus network address-set add cloudflare-dns 2606:4700:4700::1111

stgraber@dakara:~$ incus network acl create my-acl
Network ACL my-acl created
stgraber@dakara:~$ incus network acl rule add my-acl egress action=allow state=enabled
stgraber@dakara:~$ incus network acl rule add my-acl egress action=reject state=enabled destination='$cloudflare-dns'

stgraber@dakara:~$ incus config device override d13 eth0 security.acls=my-acl
Device eth0 overridden for d13

stgraber@dakara:~$ incus exec d13 -- ping linuxcontainers.org -c1 -W1
PING linuxcontainers.org (2602:fc62:a:1::7) 56 data bytes
64 bytes from rproxy.dcmtl.stgraber.org (2602:fc62:a:1::7): icmp_seq=1 ttl=59 time=8.60 ms

--- linuxcontainers.org ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 8.599/8.599/8.599/0.000 ms

stgraber@dakara:~$ incus exec d13 -- ping one.one.one.one -c1 -W1
PING one.one.one.one (2606:4700:4700::1111) 56 data bytes

--- one.one.one.one ping statistics ---
1 packets transmitted, 0 received, 100% packet loss, time 0ms

ドキュメント : https://linuxcontainers.org/incus/docs/main/howto/network_address_sets/

仮想マシンのメモリーホットプラグ ¶

Incus でのコンテナと VM との利用上の数少ない違いの 1 つに、VM でメモリーを減らすことはできても増やすことはできなかった点があります。

この違いは改良され、ゲストへのメモリーホットプラグがサポートされるようになりました。limits.memory を実行時に増やすことができ、そのメモリーを VM 内ですぐに使えるようになりました。

stgraber@dakara:~$ incus launch images:debian/13 d13 --vm
Launching d13
stgraber@dakara:~$ incus exec d13 -- free -m
               total        used        free      shared  buff/cache   available
Mem:             879         238         662          19         102         640
Swap:              0           0           0
stgraber@dakara:~$ incus config set d13 limits.memory=4GiB
stgraber@dakara:~$ incus exec d13 -- free -m
               total        used        free      shared  buff/cache   available
Mem:            3951         351        3684          19         102        3600
Swap:              0           0           0

ログの処理とリモート syslog の再実装 ¶

Incus のロギングは、今まで 2 つの選択肢に限られていました:

• ローカル syslog ロギング
• リモート Loki ロギング（単一エンドポイント）

このリリースではそれが変わりました。新しい、より柔軟なロギングメカニズムが提供され、無制限のロギングターゲットが loki または syslog で許可され、含めるイベントが選択できるようになりました。

例 :

logging.loki01.target.type: loki
logging.loki01.target.address: https://loki01.int.example.net
logging.loki01.target.username: foo
logging.loki01.target.password: bar
logging.loki01.types: lifecycle,network-acl
logging.loki01.lifecycle.types: instance

logging.syslog01.target.type: syslog
logging.syslog01.target.address: syslog01.int.example.net
logging.syslog01.target.facility: security
logging.syslog01.types: logging
logging.syslog01.logging.level: warning

この例では、loki01 と syslog01 という 2 つのロギングターゲットが定義されています。前者は認証済みエンドポイント（リバースプロキシ）を通して Loki ロギングトラフィックを受信し、lifecycle（特にインスタンスに影響するイベント）と network-acl のイベントのみを送信します。後者は syslog ロギングを使用し、priority（優先度）が warning 以上のメッセージを送信します。

ドキュメント : https://linuxcontainers.org/incus/docs/main/server_config/#server-options-logging

複雑なネットワーク転送での SNAP サポート ¶

ネットワーク転送では、ポートとポートレンジの指定方法を非常に柔軟に選択できます。
例えば、外部の 80 と 443 番ポートを内部 IP のそれぞれ 1234 と 2345 番ポートに転送できます。

これはほとんどのケースでうまく機能します。しかし、UDP ポートを使用する WebRTC アプリケーションのような特定の状況では、トラフィックの一部が外部のクライアントからではなく、インスタンスから開始されます。このようなシナリオでは、インスタンスの 2345 番ポートから外に出るトラフィックは、転送アドレスの 443 番ポートから送信されたものとして外部に表示される必要があります。

これを実現するために準備されたのが、ネットワーク転送内の個々のポートに新たに追加された snat プロパティです。このプロパティは、インスタンスから出るトラフィックに対して、対応する SNAT ルールを設定します。

この機能は、（OVN ではない）通常のブリッジ上のネットワークのみ、そしてファイアウォールとして nftables を使っているシステム上でのみに限定して使えます。

ドキュメント : https://linuxcontainers.org/incus/docs/main/howto/network_forwards/#port-properties

access_token パラメーター経由での認証 ¶

Incus は主に 2 つの認証メカニズムをサポートしています:

• TLS クライアント証明書
• OpenID Connect (OIDC)

前者の場合、ほとんどのクライアントは TLS クライアント証明書を直接取得し、TLS 接続の一部としてクライアント証明書を使用します。しかし、クライアント側での処理が難しかったり（Web ブラウザーなど）、TLS 終端プロキシーが存在することが問題になったりするため、この方法は必ずしも常に機能するとは限りません。

このような理由から、Incus では TLS 証明書から署名付き Bearer トークンを生成し、それを HTTP の Authorization ヘッダーに渡す方法もサポートしています。

このリリースでは、同じ Bearer トークンを HTTP ヘッダーではなく、URL パラメーターの access_token として渡すことができるようになりました。

この主な理由は、JavaScript WebSocket API ではカスタムの HTTP ヘッダーを渡すことが許可されていないため、Web クライアントから認証済み WebSocket エンドポイントに接続できるようにするためです。

例 :

stgraber@dakara:~$ curl -k -s https://127.0.0.1:8443/1.0 | jq -r .metadata.auth
untrusted
stgraber@dakara:~$ curl -k -s https://127.0.0.1:8443/1.0?access_token=eyJhbGciOiJFUzM4NCIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJhZjQ3MzRhYzY3YzAzMDYxY2Y1Yzg5Y2UxYTQ2NDAwYjc4MzQ2MWRiOGI3MjlkMDhjNDZhYjE5MmM3ZDc2NTMxIiwiZXhwIjoxNzQ1NTMxOTA4LCJuYmYiOjE3NDU1MzE4NDgsImlhdCI6MTc0NTUzMTg0OH0.WcsG48XQ41fNhLUlf-nqwAyJrZKpCrfM-W8mOSNpt7cwPH-QhKZkiBDa3sFWIVOdo15_cOZBeNy1QbJu6rCnYYQ18LpNJNkSKPkcwi65-yBo7U7ync5BQCuhsOgxAQap | jq -r .metadata.auth
trusted

CLI におけるサーバーサイドフィルタリングの改善 ¶

Incus API 内で単一のオブジェクトタイプすべてのサーバーサイドフィルタリングを最近追加しました。これに続いて、CLI でも徐々にこのサポートを追加しています。これにより、特定のアイテムのみをリクエストする際、データベースとネットワークトラフィックを削減できます。

このリリースでは、次の機能がサーバーサイドフィルタリングに完全に移行しました:

• インスタンス
• イメージ
• カスタムボリューム
• プロファイル

例 :

stgraber@dakara:~$ incus profile list description=bar
+------+-------------+---------+
| NAME | DESCRIPTION | USED BY |
+------+-------------+---------+
| foo  | bar         | 0       |
+------+-------------+---------+

この作業の一部は、テキサス大学オースティン校の学生によって行われました。

生成されたドキュメントの拡充 ¶

設定キーを忘れてしまうリスクを避けるため、ほとんどの設定テーブルをコードから直接生成できるように移植する取り組みを継続してきました。

このリリースでは、次の項目が直接コードから抽出されるようになりました:

• ネットワークブリッジ
• ネットワーク転送
• TPM デバイス
• プロキシーデバイス
• GPU デバイス
• NIC デバイス
• Infiniband デバイス

この作業はテキサス大学オースティン校の学生によって行われました。

すべての変更点 ¶

このリリースのすべての変更のリストは次の通りです（翻訳なし）:

ドキュメント ¶

Incus のドキュメントはこちらです:
https://incus-ja.readthedocs.io/ja/latest/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/ （原文）

パッケージ ¶

Incus の開発元は、通常リリースの tarball のみをリリースするため、公式の Incus パッケージはありません。Incus を実行するために使えるオプションを以下にいくつか示します。

Linux 上に Incus サーバーをインストールする ¶

Incus はほとんどの一般的な Linux ディストリビューションで利用できます。インストール手順の詳細は、Incus のドキュメントを参照してください。

https://incus-ja.readthedocs.io/ja/latest/installing/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/installing/ （原文）

Incus クライアントの Homebrew パッケージ ¶

HomeBrew 経由で、Linux と macOS 向けにクライアントツールが利用できます。

https://formulae.brew.sh/formula/incus

Incus クライアントの Chocolatey パッケージ ¶

Chocolatey 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://community.chocolatey.org/packages/incus/6.12.0

Incus クライアントの Winget パッケージ ¶

Winget 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://winstall.app/apps/LinuxContainers.Incus

サポート ¶

月次のフィーチャーリリースは、次のリリースがリリースされるまでのみサポートされます。より長いサポート期間と少ない変更頻度が必要な場合、代わりに Incus 6.0 LTS の使用を検討すべきです。

コミュニティサポートはこちらから : https://discuss.linuxcontainers.org
商用サポートはこちらから : https://zabbly.com/incus
バグはこちらから報告できます : https://github.com/lxc/incus/issues

以前のニュース¶

• 2025/04/04
• 2025/03/28
• 2025/02/28
• 2025/01/24
• 2024/12/19
• 2024/12/13
• 2024/11/15
• 2024/10/03
• 2024/09/06
• 2024/08/09
• 2024/07/12
• 2024/06/28
• 2024/05/31
• 2024/05/07
• 2024/04/04
• 2024/03/26
• 2024/02/23
• 2024/01/29
• 2024/01/26
• 2023/12/21
• 2023/11/27
• 2023/10/28
• 2023/10/07