Administration de Serveurs Incus Distants

Administrer un serveur Incus à distance repose sur deux méthodes complémentaires : la CLI avec un remote authentifié par token, et l'interface web incus-ui-canonical. Ce guide expose l'API du serveur, ajoute un remote côté client, gère la confiance par token, puis installe l'UI graphique. Les commandes sont valables sur Incus 7.0 ; l'UI présentée tourne sur un cluster à 3 nœuds.

Ce que vous allez apprendre

• Exposer l'API d'un serveur Incus sur le réseau.
• Ajouter un remote et l'authentifier par token.
• Installer l'interface web incus-ui-canonical.
• Sécuriser l'accès (certificat, reverse-proxy).

Configuration du serveur pour l'administration distante

Avant de connecter un client, il est nécessaire de configurer le serveur Incus pour accepter des connexions distantes.

Sur le serveur, activez l’API HTTP sécurisée en spécifiant l’adresse IP et le port. Utilisez la commande suivante pour lier l’adresse à votre interface réseau :

incus config set core.https_address <adresse_IP>:8443

Configuration d'un client pour administrer un serveur Incus distant

Pour administrer un serveur Incus à distance, le client doit être configuré pour établir une connexion sécurisée. Voici les étapes principales pour y parvenir :

1. Installation de la CLI Incus : Assurez-vous que la CLI Incus est installée sur la machine cliente. Si ce n’est pas le cas, vous pouvez l’installer depuis le guide d’installation d'Incus en n'installant que le package incus-client.

2. Générer un token sur le serveur : côté serveur, la commande incus config trust add crée un token de confiance à usage unique. Le token embarque l'adresse du serveur et l'empreinte de son certificat.

   incus config trust add poste-client
   # Client poste-client certificate add token:
   # eyJjbGllbnRfbmFtZSI6...

3. Ajouter le remote côté client : sur la machine cliente, on ajoute le remote en collant le token. Plus besoin d'indiquer l'adresse ni d'accepter le certificat à la main, tout est dans le token.

   incus remote add cluster eyJjbGllbnRfbmFtZSI6...

4. Vérifier la connexion : on préfixe les commandes par le nom du remote suivi de :. Sur un cluster, la colonne LOCATION montre le nœud d'exécution de chaque instance.

   incus list cluster: -c ns4tL
   +------+---------+----------------------+-----------+----------+
   | NAME |  STATE  |         IPV4         |   TYPE    | LOCATION |
   +------+---------+----------------------+-----------+----------+
   | web1 | RUNNING | 10.107.24.164 (eth0) | CONTAINER | node2    |
   | web2 | RUNNING | 10.107.24.252 (eth0) | CONTAINER | node3    |
   | web3 | RUNNING | 10.107.24.100 (eth0) | CONTAINER | node1    |
   +------+---------+----------------------+-----------+----------+

Le client est prêt : toutes les commandes incus ... cluster: pilotent désormais le serveur distant de manière sécurisée.

Fonctionnalités de l'interface utilisateur (UI) d'Incus

L’interface utilisateur d'Incus est conçue pour simplifier la gestion des conteneurs et instances de VM via une approche graphique et intuitive. Voici un aperçu des principales fonctionnalités :

1. Gestion des conteneurs : Accédez facilement à la liste de vos conteneurs, avec des options pour démarrer, arrêter, créer et supprimer des instances en quelques clics. Il y a même l'affichage de la console et d'un terminal.
2. Gestion des réseaux et volumes : L’interface permet d’ajuster la configuration réseau des conteneurs, de gérer les interfaces et d’ajouter ou retirer des volumes de stockage.
3. Gestion des images : Téléchargez, importez et supprimez des images locales.
4. Journaux et alertes : Consultez les logs d’activité de chaque instance et configurez des alertes pour détecter rapidement les incidents ou anomalies.
5. Configuration du serveur : Ajustez les paramètres du serveur Incus.

Vous l'aurez compris, ces fonctionnalités permettent une gestion complète et simplifiée des instances Incus, rendant l'administration plus accessible tout en restant puissante.

Installation de l'interface graphique sur le serveur Incus

Un projet a forké l'interface de LXD pour qu'elle prenne en charge Incus, permet d'installation d'une interface d'administration 100% web. Le package de l'interface utilisateur Web pour Incus s'appelle incus-ui-canonical. Notez qu'actuellement, le package incus-ui-canonical est fourni par le dépôt Zabbly détaillé dans l'introduction à Incus.

sudo apt install -y incus-ui-canonical

Rappel express

Si vous ne maitrisez pas le gestionnaire de paquets apt, lisez le guide sur apt pour mieux comprendre son fonctionnement.

Il faut comme pour l'interface en ligne de commande, activer l'API sur le serveur Incus. Reprenez-la procédure ci-dessus.

Configuration du certificat

La configuration est totalement guidée. Suivant les étapes comme indiqué dans la capture d'écran ci-dessous :

1. Généré le certificat et copiez-le sur le serveur où se trouve l'instance Incus.

2. Lancez la commande en changeant le chemin du fichier de certificat.

   incus config trust add-certificate incus-ui.crt

3. Téléchargez le certificat .pfx et installez-le sur votre machine comme indiqué.

4. Redémarrez le navigateur et Sélectionnez le bon certificat.

Et voilà, vous avez accès à l'interface graphique Incus.

Pour ne pas exposer l'API directement, on peut placer l'UI derrière un reverse-proxy (Traefik, Nginx) qui gère le TLS et l'accès. C'est une bonne pratique dès que le serveur est accessible au-delà d'un réseau de confiance.

À retenir

• L'accès distant exige d'exposer l'API : incus config set core.https_address=:8443.
• Le remote s'authentifie par token : incus config trust add côté serveur, incus remote add <nom> <token> côté client.
• Le token embarque l'adresse et l'empreinte : plus d'acceptation manuelle du certificat.
• L'UI web incus-ui-canonical (dépôt Zabbly) offre une gestion graphique, cluster inclus.
• Exposé hors réseau de confiance, placer l'UI derrière un reverse-proxy TLS.

FAQ : questions fréquentes sur l'accès distant Incus

Comment ajouter un serveur Incus distant avec un token ?

Côté serveur, incus config trust add poste-client génère un token de confiance à usage unique qui embarque l'adresse et l'empreinte du certificat. Côté client, incus remote add cluster TOKEN ajoute le remote sans saisir l'adresse ni valider le certificat à la main.

Comment exposer l'API d'un serveur Incus sur le réseau ?

On active l'API HTTPS sécurisée avec incus config set core.https_address adresse:8443, en liant l'IP de l'interface réseau et le port 8443. Cette étape est requise avant d'ajouter un remote client ou d'installer l'interface web incus-ui-canonical.

Qu'est-ce que le package incus-ui-canonical ?

C'est l'interface web d'administration d'Incus, un fork de l'UI de LXD adapté à Incus. Fournie par le dépôt Zabbly, elle permet de gérer conteneurs, VM, réseaux, volumes et images depuis un navigateur, y compris sur un cluster.

Comment sécuriser l'accès à l'interface web Incus ?

On place l'UI derrière un reverse-proxy comme Traefik ou Nginx qui gère le TLS et le contrôle d'accès, plutôt que d'exposer l'API directement. C'est une bonne pratique dès que le serveur est accessible au-delà d'un réseau de confiance.

Prochaines étapes

Gérer ses instances Lancer et administrer conteneurs et VM.

Sécuriser Incus Isolation, limites et projets restreints.

Cluster Incus Fédérer plusieurs nœuds.

Automatiser les images Construire des images avec Packer et Ansible.

×

📖 Voir la documentation →