CRACI vs Buildkite

Krátká odpověď

Buildkite je hybridní platforma CI/CD. Její SaaS řídicí rovina zajišťuje orchestraci a agenti, kteří spouštějí vaše joby, běží na vaší vlastní infrastruktuře, on-premises nebo v cloudu. Buildkite uvádí, že zdrojový kód a tajné klíče zůstávají ve vašem prostředí. Pokud nechcete provozovat vlastní agenty, nabízí také plně spravované hostované agenty.

CRACI je spravovaný runner kompatibilní s GitHub Actions, navržený pro bezpečnost dodavatelského řetězce. Zaznamenává každou externí závislost, kterou build stáhne, vynucuje politiku odchozího provozu v síti buildu a z tohoto záznamu vytváří SBOM, údaje o původu a důkazy pro CRA. Zjednodušeně: Buildkite je tradiční CI s maximální kontrolou nad infrastrukturou, CRACI je CI s ohledem na bezpečnost, kde důkazem je samotný runner.

CRACI dnes podporuje pouze GitHub Actions, takže pipeline Buildkite nespouští. Tým na Buildkite by musel pipeline převést na GitHub Actions, aby mohl runnery CRACI používat, nebo počkat na další systémy CI, které jsou v plánu vývoje.

V čem je Buildkite dobrý

Kontrola nad výpočetní kapacitou. Protože agenty hostujete vy, volíte hardware, operační systém, síť i region. Agenti se dotazují API agentů Buildkite přes HTTPS, takže nemusíte otevírat příchozí porty ve firewallu. Tento model vyhovuje velkým monorepům, specializovanému hardwaru a organizacím, jejichž politiky drží zdrojový kód uvnitř vlastního perimetru.

Integrita pipeline. U podepsaných pipeline se joby při nahrání podepisují a agenti před spuštěním ověřují podpis, takže agent nespustí job, jehož instrukce byly po nahrání změněny.

Nástroje kolem buildu. Test Engine odhaluje nestabilní testy, dává je do karantény a rozděluje testy mezi paralelní joby. Package Registries umí publikovat artefakty s původem SLSA, který podle Buildkite splňuje SLSA Build Level 1; tato funkce je dostupná v plánech Enterprise.

Flexibilní ceny. Ke září 2026 má Buildkite plán Free a plán Pro za $30 za aktivního uživatele měsíčně, přičemž Pro zahrnuje 10 self-hosted agentů a každý další stojí $3.50 měsíčně. Hostovaní linuxoví agenti stojí $0.004 za vCPU-minutu, účtováno po sekundách.

V čem se CRACI liší

Bezpečnostní důkazy jsou součástí runneru

U self-hosted agentů je zabezpečení prostředí buildu na vás. Vlastní bezpečnostní doporučení Buildkite radí instalovat minimální operační systémy, vypnout příchozí SSH a vynucovat přísnou kontrolu odchozího provozu. Je to férové rozdělení odpovědnosti a znamená, že důkazy o dodavatelském řetězci závisejí na tom, co váš tým kolem agentů vybuduje.

U CRACI je tato vrstva součástí runneru. Proxy, která rozumí balíčkům, zaznamenává provoz ke zdrojům balíčků po celou dobu běhu každého jobu, napříč zdroji npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a k tomu předvolby pro stahování. Důkazy o závislostech se přenášejí spolu s cache CI. Každý job vytvoří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Politika odchozího provozu, kterou nemusíte budovat sami

Politiky odchozího provozu CRACI mají výchozí zákaz nebo výchozí povolení, 24 vestavěných předvoleb softwarových zdrojů, typované vlastní zdroje pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git a explicitní pravidla pro TLS, TCP, UDP a ICMP. Politiky se ověřují před spuštěním jobu, při selhání vše zablokují (fail-closed) a při porušení odešlou upozornění.

Původ a monitorování

API vrací SBOM, síťové záznamy a údaje o původu. CRACI údaje o původu nepodepisuje. Agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM.

Kompromis

CRACI je dnes spravovaná služba; runnery hostované u zákazníka jsou pro Enterprise v plánu vývoje. Joby běží v izolovaných virtuálních strojích na infrastruktuře CRACI a zdrojový kód se zpracovává ve VM jobu po dobu buildu a neukládá se. V plánu Enterprise nabízí CRACI uložení dat v EU se spouštěním buildů na evropské bare-metal infrastruktuře. Pokud vaše politika vyžaduje buildy na vlastním hardwaru, tomuto požadavku odpovídá model Buildkite, model CRACI nikoli.

Co se hodí

• Buildkite, pokud potřebujete buildy na vlastním hardwaru nebo ve vlastní síti, sestavujete pro Windows nebo macOS, používáte GitLab nebo Bitbucket, nebo pracujete v měřítku, kde se vlastní výpočetní kapacita vyplatí.
• CRACI, pokud používáte GitHub Actions a chcete důkazy o buildu, aniž byste je museli budovat a provozovat: zaznamenané závislosti, politiku odchozího provozu a důkazy pro CRA z jednoho runneru.
• Obojí, pokud je vaše organizace rozdělená: Buildkite pro pipeline, které musí zůstat na vašem hardwaru, CRACI pro linuxové workflow GitHub Actions. Náročné linuxové buildy, například image Yocto, mohou běžet na runnerech CRACI s až 32 vCPU a 96 GB RAM, jak popisuje průvodce CRACI pro Yocto.

Pro Cyber Resilience Act

Evropský Cyber Resilience Act požaduje, aby výrobci věděli, co obsahuje každé vydání, a řešili jeho zranitelnosti, s oznamovacími povinnostmi od září 2026 a plnou účinností od prosince 2027. Na Buildkite tyto důkazy pocházejí z nástrojů, které na svých agentech spouštíte. CRACI je vytváří ze záznamu buildu, dál monitoruje, co bylo dodáno, a exportuje SBOM ve formátu CycloneDX nebo SPDX včetně zranitelností. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA.

Přidání CRACI

Pro repozitář na GitHubu s workflow GitHub Actions nainstalujte do své organizace aplikaci CRACI GitHub App a nastavte štítek runneru:

runs-on: craci

Běhy se dál zobrazují v rozhraní GitHubu. Přečtěte si více o generování SBOM v době buildu a o tom, jak CRACI přistupuje k bezpečnosti, nebo se podívejte na ceník.