Lima v2.3 introduit la virtualisation native Windows et le réseau Linux

Le projet Lima, classé Incubating par la CNCF, a publié la version 2.3 le 6 novembre 2026, marquant un tournant majeur dans le fonctionnement des machines virtuelles locales sur différents systèmes d'exploitation. Cette mise à jour supprime le besoin de dépendances supplémentaires sous Windows en exploitant le Host Compute System natif, tout en apportant aux hôtes Linux des capacités réseau avancées jusqu'alors réservées à macOS. La version introduit également une nouvelle interface utilisateur en terminal pour faciliter la gestion des instances et renforce les fonctionnalités de sécurité pour les sandbox des agents IA.

Ce qui s'est passé

Lima, conçu initialement pour aider les utilisateurs Mac à exécuter des conteneurs, a évolué vers un outil multiplateforme permettant de lancer des machines virtuelles locales. Avec la version 2.3, le projet comble les lacunes persistantes dans la prise en charge de Windows et de Linux. Sous Windows, les utilisateurs peuvent désormais exécuter des VM sans QEMU ni chaîne d'outils Unix grâce au nouveau pilote HCS expérimental. Ce pilote interagit directement avec l'API Windows Host Compute System, la même technologie sous-jacente qui alimente WSL2. Pour l'utiliser, les utilisateurs doivent activer la virtualisation, ajouter leur compte au groupe Hyper-V Administrators et spécifier explicitement un serveur DNS. Bien que fonctionnel, ce mode ne prend actuellement en charge que les instances simples, n'offre pas de points de montage de fichiers et permet une seule instance active à la fois en raison de sous-réseaux fixes.

Pour les utilisateurs Linux, la mise à jour comble un écart réseau existant par rapport à macOS. Auparavant, les VM Linux ne pouvaient pas facilement obtenir une adresse IP réelle accessible depuis l'hôte. La version 2.3 introduit lima-privileged-net, un outil d'aide qui crée des ponts Linux, gère DHCP et DNS via dnsmasq, et traite les règles NAT. Cette configuration nécessite une configuration unique des règles sudoers pour permettre à l'outil de gérer les interfaces réseau de manière sécurisée. Une fois configuré, les VM Linux peuvent utiliser des réseaux partagés, hôtes ou pontés, tout comme leurs homologues macOS, offrant ainsi une expérience de développement plus cohérente entre les plateformes.

Les utilisateurs macOS bénéficient d'améliorations centrées sur l'accès matériel et la personnalisation des invités. La mise à jour permet aux invités VZ d'attacher des périphériques blocs, tels que des SSD externes ou des clés USB, directement sans utiliser de partages de fichiers. Cette fonctionnalité exige une configuration de sécurité rigoureuse, incluant des outils d'aide possédés par root et des règles sudoers spécifiques pour empêcher tout accès disque non autorisé. De plus, les invités macOS peuvent désormais ignorer les écrans de configuration de première connexion pour l'automatisation sans interface graphique, et la virtualisation imbriquée est prise en charge sur les systèmes aarch64 avec l'accélérateur HVF, à condition d'utiliser QEMU 11.1 et macOS 15.

Comment cela fonctionne

Le nouveau pilote HCS Windows contourne les couches d'émulation traditionnelles en appelant directement l'API Windows Host Compute System. Cette approche élimine la surcharge de QEMU et le besoin d'une couche de compatibilité Unix, résultant en une intégration plus native avec le noyau Windows. Cependant, comme il repose sur le sous-réseau HCN, il limite actuellement les utilisateurs à une seule instance concurrente et nécessite une configuration manuelle du DNS. Le pilote est marqué comme expérimental, indiquant que bien qu'il soit fonctionnel, il peut encore subir des changements significatifs ou présenter des limitations de stabilité.

Sous Linux, l'outil d'aide lima-privileged-net opère avec des privilèges élevés pour gérer l'infrastructure réseau. Il crée un pont dédié pour chaque définition de réseau, attribue des adresses de passerelle et génère des dispositifs tap pour les instances VM individuelles. En exécutant dnsmasq dans cet environnement contrôlé, il fournit des services DHCP et DNS aux invités. L'outil assure la sécurité en ne gérant que les interfaces suivant la convention de nommage de Lima et en supprimant les ressources réseau lorsqu'aucune instance n'est active. Ce mécanisme reflète la fonctionnalité de socket_vmnet sur macOS, offrant un modèle réseau uniforme pour les développeurs travaillant sur différents systèmes hôtes.

Détails clés

• Pilote HCS Windows : Permet l'exécution native de VM sous Windows sans QEMU, bien qu'il ne prenne actuellement en charge que le mode simple et une instance à la fois.
• Réseau Linux : L'outil d'aide lima-privileged-net fournit des adresses IP réelles et des services DHCP/DNS pour les VM Linux, nécessitant une configuration sudoers.
• Périphériques blocs macOS : Les invités VZ peuvent désormais attacher des périphériques blocs physiques comme des clés USB, sécurisés via des outils d'aide possédés par root et des règles sudoers par périphérique.
• Interface Terminal : Une nouvelle commande limactl menu offre une interface interactive pour démarrer, arrêter et gérer les instances VM.
• Sécurité Sandbox IA : De nouveaux drapeaux --sync-exclude et des fichiers .limasyncignore empêchent la synchronisation de secrets et de dossiers lourds dans les environnements d'agents IA.
• Outils MCP : Les outils du Model Context Protocol incluent désormais une fonction replace, permettant aux agents d'effectuer des modifications ciblées de fichiers pour économiser des tokens.

Pourquoi c'est important

Pour les ingénieurs logiciels construisant des environnements de développement locaux, cette mise à jour réduit les frictions et augmente la cohérence. Les développeurs Windows n'ont plus besoin de maintenir des chaînes d'outils Unix séparées ni de compter sur des couches d'émulation plus lourdes pour les tâches VM de base. Les développeurs Linux gagnent une parité réseau avec macOS, simplifiant la configuration d'architectures multi-services où les services doivent communiquer via des adresses IP stables. Ces changements font de Lima une option plus viable pour les équipes ayant des préférences hétérogènes en matière de système d'exploitation, garantissant que les environnements locaux se comportent de manière prévisible quel que soit l'OS hôte.

Les améliorations apportées au sandboxing IA sont particulièrement pertinentes pour les équipes intégrant des agents de codage dans leurs workflows. En permettant un contrôle précis sur les fichiers synchronisés dans la VM, les développeurs peuvent éviter l'exposition accidentelle de credentials sensibles ou de grands dossiers de dépendances. La capacité d'isoler l'invité des services loopback de l'hôte sécurise davantage l'environnement, assurant que les bases de données locales ou les serveurs de développement restent inaccessibles à du code d'agent potentiellement non fiable. Ces fonctionnalités répondent à des préoccupations critiques de sécurité et de performance dans les pipelines de développement assistés par IA modernes.

Ce que vous pouvez faire

• Installez Lima v2.3 sur Windows en utilisant winget install Lima.Lima et testez le nouveau pilote HCS en ajoutant votre utilisateur au groupe Hyper-V Administrators.
• Configurez le réseau Linux en installant dnsmasq, en générant des règles sudoers avec limactl sudoers, et en démarrant une VM avec le drapeau --network=lima:shared.
• Utilisez la nouvelle commande limactl menu pour gérer vos instances VM de manière interactive plutôt que de taper des commandes CLI individuelles.
• Sécurisez vos sandbox IA en créant un fichier .limasyncignore pour exclure les dossiers sensibles comme .git et node_modules de la synchronisation.
• Sur macOS, attachez un lecteur externe à un invité VZ en utilisant le drapeau --block-device après avoir configuré les règles sudoers nécessaires pour la sécurité.
• Mettez à jour vos configurations d'outils MCP pour utiliser la nouvelle fonction replace pour des modifications de fichiers plus efficaces et plus sûres par les agents IA.