IncusOS Linux 2026 实测:容器专用不可变系统部署

IncusOS Linux 2026 实测:容器专用不可变系统部署

图:IncusOS 架构总览 —— 同一份不可变镜像同时承载 Incus、Operations Center 与 Migration Manager 三个应用,底层是经过强化的 Debian 13。

如果你曾为家用实验室虚拟化主机上的一次 apt dist-upgrade 折腾半天 —— 内核和 ZFS 用户态不匹配、QEMU 升一版旧的 VM 配置报错、某个节点慢慢漂离集群 —— 那么 IncusOS 就是为这种场景准备的。它是 2025 年 11 月正式 GA 的极简、不可变 Linux 发行版,只做一件事:把 Incus 跑得像网络交换机刷固件一样稳。本文介绍它到底是什么、家用实验室要不要换、怎么在裸机或 VM 上第一次跑起来。

IncusOS 到底是什么

官方文档里说它是”专为安全可靠地运行 Incus 而设计的不可变操作系统”,这其实低估了它的激进程度。每一次 IncusOS 安装都遵循这些硬性规则:

• 只做一件事。自带的应用只有 Incus,以及两个可选组件:Operations Center(集群集中管理)和 Migration Manager(把 VMware 工作负载搬到 Incus)。系统里没有传统意义上的包管理器,无法 apt install 任何东西。
• 不可变底层。所有 OS 分区都是只读且签名过的。更新落到 A/B 槽位的非活动分区(由 systemd-sysupdate 负责),重启后切换,坏更新自动回滚。
• 启动安全。强制 UEFI Secure Boot + TPM 2.0 测量。根磁盘用 TPM 备份的 LUKS 密钥加密,即使整机被拆走硬盘也读不出。
• 只能 API 管理。没有本地 shell,没有 SSH。所有操作 —— 网络、存储、升级、恢复出厂 —— 全靠 Incus REST API 或 Incus Web UI,用 TLS 客户端证书或 OIDC 鉴权。
• 逐字节一致。同一版本的两次 IncusOS 安装,字节级完全相同。再也没有”为什么你的集群节点跑的是另一个内核”。

底层是精简的 Debian 13 + Zabbly 编译的内核与 ZFS,Incus 用的是 images.linuxcontainers.org 同款源码。一切用 mkosi 拼装,镜像本身也是可复现构建。

家用实验室要不要换

“我用 Proxmox 一直好好的”是合理的反应。Proxmox 成熟、文档全、经受过考验。但过去五年,通用虚拟化发行版有三个老毛病越来越突出:

1. 升级漂移。Debian 主机的 dist-upgrade 会拉一个比内核模块预期更新的 ZFS 用户态,或者一个比 VM 配置预期更新的 QEMU。IncusOS 把”内核 / QEMU / Incus”绑成一个已知可用的组合,拒绝单独更新任何一个。
2. 状态化配置堆积。自定义的 Ansible 角色、手写的 netplan YAML、不知道哪年塞进去的五行 iptables 脚本 —— 通用发行版天然会攒这些。IncusOS 没有 ~/.bash_history 可丢,所有配置要么在 seed 文件里,要么在 API 里。
3. 集群管理。Operations Center 自动注册每台 IncusOS 服务器、跟踪更新、并能为新节点预置 ISO 镜像。如果你曾花一个晚上重建一个挂掉的集群成员,这功能很值。

反过来也公平:IncusOS 比 Proxmox 年轻,集成更少,缺一些 Proxmox 的功能(比如非 Incus 负载的 Web VM 控制台)。如果你的家用实验室要在不同 OS 上跑 VM + 裸机服务,这种”家电式”模型确实会让人憋屈。

硬件要求与首次试跑位置

官方说”近五年内的硬件”就行,更直白一点的判定标准是”能跑 Windows 11 的就能跑 IncusOS”。具体清单:

• 现代 x86_64-v3(Haswell / Zen 及更新)或 arm64(Apple Silicon 服务器、Ampere、Graviton)
• 必须开 UEFI Secure Boot
• 必须有 TPM 2.0 —— 老 Xeon(E5 v3 之前)明确不支持,软件 TPM 还在路上
• 至少一块有线网卡、约 50 GB 可用磁盘

第一次试,先跑在 VM 里。官方文档有 QEMU/KVM 和 VMware 两种走法。最干净的是 qemu-system-x86_64 配 tpm-emulator + OVMF 固件:

qemu-system-x86_64 
  -enable-kvm -M accel=kvm -cpu host -m 4096 
  -drive if=pflash,format=raw,readonly=on,file=OVMF_CODE.fd 
  -drive if=pflash,format=raw,file=OVMF_VARS.fd 
  -drive file=incus-os-amd64.iso,format=raw,readonly=on 
  -chardev socket,id=chrtpm,path=/tmp/my-tpm.sock 
  -tpmdev emulator,chardev=chrtpm -device tpm-tis,tpmdev=chrtpm 
  -netdev user,id=net0 -device virtio-net-pci,netdev=net0 
  -nographic

tpm-emulator 这一行是最常被跳过、导致”找不到 TPM”的元凶。启动后 TUI 底部会渲染出 IP 地址,看到之后就可以进入下一步。

准备客户端 TLS 证书

IncusOS 没有 SSH、没有 shell,你和它唯一的交流方式是带 TLS 客户端证书的 Incus REST API。所以先在笔记本上生成证书再启动 ISO:

incus remote generate-certificate

会生成 ~/.config/incus/client.crt 与 client.key。然后二选一:

• 把证书灌进 ISO —— 打开 官方在线定制页,选 ISO,选 “Installation”,把你的证书粘贴进信任列表。定制页会把证书烘进镜像,主机一启动就接受你这个客户端。
• 不要证书,用 OIDC —— 较新版本的 IncusOS 支持通过 sso.linuxcontainers.org 走 OIDC。定制页选”不要证书,信任这些邮箱”。装好之后浏览器访问 https://<主机 IP>:8443,用 Google / GitHub 之类的账号登录。

主机起来后,把它加成本地 Incus 的 remote:

$ incus remote add incusos 192.0.2.100
Certificate fingerprint: 80d569e9244a421f3a3d60d46631eb717f8a0a480f2f23ee729a4c1c016875f7
ok (y/n/[fingerprint])? y
$ incus list incusos:
+--------+---------+--------------------+------+--------+-----------+
|  NAME  |  STATE  |         IPV4       | IPV6 |  TYPE  | SNAPSHOTS |
+--------+---------+--------------------+------+--------+-----------+
| trixie | RUNNING | 10.25.170.218(eth0)| ...  |CONTAINER|    0      |
+--------+---------+--------------------+------+--------+-----------+

trixie 这一行就是一个真实的 Debian 13 系统容器,从 Incus 标准镜像仓库启动 —— IncusOS 已经把它准备好。从这里开始,你拥有的是一台完整的 Incus 服务器,API 和 Debian 上 apt install incus 完全一致,但底座不会再漂移。

图:Hye Ararat,2026 年 4 月发布的 Incus 原生 Web UI(社区项目,公测版),展示实例列表与资源占用。任何兼容 Incus REST API 的 UI 客户端都可以用来管理 IncusOS 主机。

2026 年 8 月以来值得知道的变化

2025 年 11 月 GA 之后,这三件事改变了使用体感:

1. Hye Ararat Web UI。社区项目,2026 年 4 月 公测,是第一个”不像 Proxmox 皮肤”的 Incus 客户端。
2. Incus 7.0 LTS 在 2026 年 5 月正式发布,IncusOS stable 已经按周跟上。7.0 LTS 内置 S3 监听器取代 minio,新增底层备份 API 和存储池项目隔离。
3. Operations Center 集群 现在会下发 Terraform / OpenTofu artifact。如果你一直想用 HCL 描述家用实验室集群,这条路就通了。

仍在用旧版的用户看 官方升级文档 —— 每周至少一个 stable 构建,默认每 6 小时检查一次更新,系统更新只在下次重启时生效,运行中的负载不会被中断。

结论:谁该上手试

如果你已经有 1-2 台 Proxmox 节点、工作负载稳定,迁移成本大概率高于收益 —— Proxmox 完全够用,IncusOS 的家电式模型是用灵活性换可复现性。

但如果你正要搭一个新集群,或者想用同一套 API 管容器和 VM,又或者曾经因为一次半截的升级丢过节点 —— 2026 年的 IncusOS 是你能放上去的最有立场、最少意外的底座。定制页很宽容,API 跟每个 Incus 安装都一样,”逐字节一致”这个保证让你的”集群”真的就是集群。

官方资源:

• 项目主页:https://linuxcontainers.org/incus-os/
• 入门文档:https://linuxcontainers.org/incus-os/docs/main/getting-started/
• ISO 定制页:https://incusos-customizer.linuxcontainers.org/
• 源码:https://github.com/lxc/incus-os
• 镜像服务:https://images.linuxcontainers.org/os/