CRACI vs Azure Pipelines

Stručná odpověď

Azure Pipelines je část Azure DevOps pro CI/CD. Sestavuje a testuje na Linuxu, Windows a macOS, pracuje s Azure Repos i GitHubem a nasazuje na virtuální stroje, do kontejnerů, on-premises i do cloudu. Pokud máte sledování práce, repozitáře a vydání v Azure DevOps nebo potřebujete buildy pro Windows a macOS v rámci jedné smlouvy s Microsoftem, hodí se dobře.

CRACI pokrývá užší oblast a jde do větší hloubky. Je to runner pro GitHub Actions: během běhu každého jobu zaznamenává každou externí závislost, kterou build stáhne, uplatňuje egress policy na síť buildu a z tohoto záznamu vytváří SBOM, data o provenance a monitorování zranitelností. V Azure Pipelines tyto důkazy pocházejí z tasků a nástrojů, které do každé pipeline přidáte.

Nejdřív jedna praktická věc. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Azure Pipelines podporované nejsou, takže pipeline se pro běh na CRACI převede na workflow GitHub Actions.

Přehled

V čem je Azure Pipelines dobré

Jedna platforma s Azure DevOps. Pipeline jsou hned vedle sledování práce, Azure Repos a Azure Artifacts, takže pracovní položky, kód, buildy i balíčky máte na jednom místě. Sestavuje i kód hostovaný na GitHubu.

Všechny operační systémy. Agenti hostovaní Microsoftem běží na Linuxu, Windows i macOS a jeden paralelní job spustí kterýkoli z nich za stejnou cenu. Self-hosted agenti to rozšiřují na vaše vlastní stroje a Azure DevOps Server přenáší celou platformu on-premises.

Neomezené minuty na job. Placený paralelní job nemá měsíční limit minut, přičemž každý běh smí trvat až 360 minut. Tým, který své joby vytěžuje celý den, platí paušální cenu bez ohledu na to, jak dlouho buildy trvají.

Vestavěná nasazení. Pipeline dovedou buildy až k nasazení na virtuální stroje, do kontejnerů, na on-premises servery i do cloudu.

V čem je CRACI jiné

SBOM vzniká z buildu

V Azure Pipelines vzniká SBOM z tasku nebo kroku skeneru, který přidáte a který obvykle dodatečně čte manifesty a lockfily. Buildy ale často dělají víc, než tyto soubory uvádějí: instalační skripty stahují kód, buildovací skripty stahují během buildu a cache obnovují balíčky, které žádný lockfile nezmiňuje. CRACI tento provoz vidí, protože je runnerem. Proxy, která rozumí balíčkům, zaznamenává, co každý job stáhne ze zdrojů balíčků, napříč npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a zdroji Git, a důkazy o závislostech putují s cache CI. Každá SBOM ve formátu CycloneDX nebo SPDX uvádí, jak je úplná, pro každý job a každou cache.

Politika pro síť buildu

U agentů hostovaných Microsoftem nemůžete určit, kam se build smí připojit; u self-hosted agentů je to síťová infrastruktura, kterou si vytváříte a udržujete sami. CRACI dává každému jobu egress policy: výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji, ověřenou před spuštěním jobu. Politiky při selhání vše zablokují (fail-closed) a porušení odešlou upozornění.

Monitorování toho, co bylo dodáno

API vrací SBOM, síťové záznamy a provenance. CRACI agreguje zranitelnosti napříč buildy a repozitáři, průběžně znovu vyhodnocuje monitorované SBOM, jakmile se objeví nová upozornění, a ukazuje, které dřívější buildy obsahovaly zranitelnou závislost, takže víte, v jakém období jste byli zasaženi.

Platba za minutu, ne za paralelní job

Azure Pipelines prodává souběžnost: každý build, který chcete mít spuštěný současně, potřebuje vlastní hostovaný job za $40 měsíčně, v jediné velikosti 2 jádra a 7 GB. Při vytížení 8 hodin v každém z 22 pracovních dnů vychází job přibližně na $0.0038 za minutu, o něco méně než $0.004 za 2 vCPU u CRACI. Při vytížení poloviční dobu je to přibližně $0.0076. Buildy přicházejí v nárazech, takže joby nakoupené na nejvytíženější hodinu po zbytek dne zahálejí.

CRACI účtuje jen minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner s 2 vCPU), účtováno po sekundách, bez měsíčního poplatku a bez poplatku za SBOM. Job, který potřebuje víc výkonu, může použít až 32 vCPU. Úplné srovnání najdete na stránce ceny runnerů CI.

Co se kam hodí

• Zůstaňte u Azure Pipelines, pokud máte sledování práce, repozitáře a vydání v Azure DevOps, potřebujete buildy pro Windows nebo macOS, nasazujete ze stejných pipeline nebo jsou vaše joby vytížené celý den.
• Zvolte CRACI, pokud je váš kód na GitHubu nebo se tam přesouvá a chcete, aby každý build vytvořil záznam o tom, co vstoupilo do vydání, s cenou za minutu buildu.
• Používejte obojí během postupného přechodu: volí se pro každou pipeline zvlášť, takže linuxové buildy mohou přejít na GitHub Actions na CRACI, zatímco pipeline pro Windows, macOS a nasazení zůstanou.

Ujasněte si, čeho se volbou CRACI vzdáváte. Nenasazuje software, dnes spouští pouze linuxové joby, přičemž Windows a macOS jsou v plánu vývoje, a runnery hostované zákazníkem jsou v plánu vývoje pro Enterprise.

Pro regulované produkty

Rámce jako unijní Cyber Resilience Act očekávají, že výrobci vědí, co obsahuje každé vydání, a řeší jeho zranitelnosti, přičemž oznamovací povinnosti platí od září 2026. V Azure Pipelines tyto důkazy pocházejí z tasků a skenerů, které do každé pipeline zapojíte. CRACI je vytváří ze záznamu buildu a exportuje SBOM jako CycloneDX nebo SPDX. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firma potřebuje pro svůj širší proces CRA; žádný z obou nástrojů sám o sobě nezajistí soulad produktu.

Přesun pipeline na CRACI

Nástroj GitHub Actions Importer od GitHubu převádí pipeline z Azure DevOps na workflow GitHub Actions. GitHub cílí na to, aby se 80 % každého workflow převedlo automaticky, a uvádí, že každé převedené workflow je třeba před spuštěním v produkci zkontrolovat, takže počítejte s jistou ruční prací. Jakmile pipeline běží jako workflow GitHub Actions, poběží na CRACI díky jednomu řádku:

runs-on: craci

Běhy se dál zobrazují v rozhraní GitHubu. Přečtěte si více o generování SBOM z doby buildu, podívejte se na alternativy k Azure Pipelines, porovnejte platformy CI/CD nebo si prohlédněte ceník.