Kam CRACI dosáhne a co si ponechá

Proč si tato otázka zaslouží přímou odpověď

Runner CI vidí víc než většina nástrojů ve vašem stacku. Stahuje váš zdrojový kód, instaluje závislosti a drží tajné klíče, kterými vaše workflow publikují balíčky a nasazují. Když byla v březnu 2025 kompromitována GitHub Action tj-actions/changed-files, CISA uvedla, že škodlivý kód odhalil tajné klíče včetně přístupových klíčů, osobních přístupových tokenů GitHubu, tokenů npm a privátních klíčů RSA. Právě na runneru tyto tajné klíče během běhu jobu leží.

Než tedy na CRACI nasměrujete workflow, měli byste přesně vědět, kam má přístup. Odpovědi najdete níže a podrobnosti v CRACI Trust Center a na docs.craci.com.

K čemu slouží GitHub App

CRACI nahrazuje runner, ne GitHub Actions. Svá workflow si ponecháte, u vybraných jobů změníte runs-on na craci a běhy se dál zobrazují v rozhraní GitHubu. Aby to fungovalo, nainstaluje vaše organizace GitHub App CRACI.

Při instalaci udělíte aplikaci přístup buď ke všem repozitářům, nebo k vybrané sadě. Workflow na CRACI mohou spouštět jen repozitáře, ke kterým přístup udělíte.

Přesná oprávnění, která aplikace požaduje, jsou uvedena na instalační obrazovce GitHubu a později je můžete zkontrolovat v nastavení organizace. Stručně: aplikace může číst váš kód a běhy Actions a spravuje runnery, které pro vaši organizaci registruje.

Kde váš kód běží

Joby se spouštějí v izolovaných virtuálních strojích. Buildy běží na evropské bare-metal infrastruktuře. Váš zdrojový kód se zpracovává uvnitř VM jobu po dobu buildu.

Každý job běží na jednom ze tří image: CRACI Slim, CRACI Slim ARM64 nebo image Ubuntu 24.04 kompatibilním s GitHubem. Runnery jsou dnes jen pro Linux; Windows a macOS jsou v plánu vývoje.

Jak jsou joby izolované a co se stane s VM jobu po jeho skončení, je zdokumentováno na docs.craci.com a v Trust Center.

Co CRACI ukládá a jak dlouho

CRACI zpracovává váš zdrojový kód ve VM jobu během buildu a neukládá ho. Uchovává důkazy, které o každém buildu zaznamená, a cache, které vaše workflow uloží:

• Metadata buildu
• Data o balíčcích, tedy závislosti, které každý job stáhl
• Síťové záznamy z jobu
• SBOM
• Záznamy o původu
• Cache
• Auditní záznamy

Cache obsahuje cokoli, co do ní vaše workflow vloží, proto s jejím obsahem zacházejte jako s jakýmkoli jiným výstupem buildu.

Výchozí doba uchování je 180 dní. Plány Enterprise si mohou nastavit vlastní dobu uchování. Mazání a šifrování dat popisuje Trust Center.

Hosting a umístění dat

CRACI je hostované v Evropě a nabízí uložení dat v EU, přičemž buildy běží na evropské bare-metal infrastruktuře. Platforma běží u německého poskytovatele Hetzner v datovém centru v Tuusule ve Finsku. Jaká data CRACI zpracovává, popisuje stránka umístění dat.

Kontroly přímo nad buildem

Runner, který vidí vaše tajné klíče, by vám měl také umožnit omezit, kam mohou odejít. Egress policies CRACI nastavují pro každý job výchozí zákaz nebo povolení, s 24 vestavěnými předvolbami pro běžné zdroje softwaru a typovanými vlastními zdroji pro registry jako npm, PyPI, Cargo, Go proxy a OCI. Můžete také psát explicitní pravidla pro TLS, TCP, UDP a ICMP. Politiky se ověřují před spuštěním jobu, při selhání vše zablokují (fail-closed) a odmítají neznámá pole. Porušení politik hlásí výstrahy.

Joby odcházejí ze stabilního rozsahu odchozích IP adres, takže runnery CRACI můžete ve vlastních firewallech povolit podle adresy.

Přístup uvnitř vaší organizace

• Plány Enterprise podporují jednotné přihlášení SAML s Google Workspace jako poskytovatelem identity.
• Auditní log administrátora zaznamenává administrativní akce. Je k dispozici v rozhraní a zatím ho nelze exportovat.
• API tokeny vytvářejí administrátoři, lze je kdykoli odvolat a jejich platnost vyprší po 90 dnech.

Jak udržet rozsah přístupu malý

K vyzkoušení CRACI mu nemusíte svěřit celou organizaci.

1. Instalujte jen na vybrané repozitáře. Při instalaci aplikace zvolte „Only select repositories“ a vyberte jeden nebo dva. Sadu můžete později rozšířit nebo zúžit v nastavení organizace pod Settings, GitHub Apps, CRACI, Configure. Změna platí okamžitě.
2. Přesouvejte joby po jednom. Na CRACI běží jen joby s runs-on: craci. Vše ostatní zůstává na runneru, který používá dnes.
3. Začněte jobem s málo tajnými klíči. Job s testy nebo lintem vám ukáže SBOM a síťové důkazy, aniž byste na nový runner dávali přihlašovací údaje pro publikování nebo nasazení.
4. Zapněte egress policy s výchozím zákazem. Povolte zdroje balíčků, které job potřebuje, a nic jiného.
5. Vězte, jak odejít. V GitHubu můžete aplikaci pozastavit, což zablokuje její přístup a ponechá ji nainstalovanou, nebo ji odinstalovat, což jí odebere přístup k vaší organizaci.

Naše úroveň zabezpečení

Naše stránka o bezpečnosti vysvětluje, jak k ní přistupujeme: doloženo, ne jen tvrzeno. Trust Center shromažďuje politiky, kontroly a dokumentaci k platformě a můžete si v něm vyžádat podklady pro hodnocení dodavatele.

Tato stránka netvrdí žádné certifikace. Aktuální stav našeho bezpečnostního programu a případných auditů najdete v Trust Center.