CRACI vs CircleCI

Stručná odpověď

CircleCI je vyspělá a flexibilní platforma CI/CD. Připojuje se ke GitHubu, GitLabu a Bitbucketu, spouští joby na široké škále strojů od kontejnerů Docker po macOS a GPU a umožňuje zabalit opakovaně použitelnou konfiguraci do orbů. V oblasti bezpečnosti CircleCI chrání přihlašovací údaje a skenování nechává na orbech a nástrojích třetích stran.

CRACI volí opačný přístup: bezpečnostním záznamem je runner. Spouští joby GitHub Actions, sleduje každou externí závislost, kterou každý build stáhne, vynucuje egress policy v síti buildu a z toho, co viděl, vytváří SBOM, data o původu a důkazy pro CRA. V tom je rozdíl mezi tradičním CI a CI, které myslí na bezpečnost.

CRACI dnes podporuje jen GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. CircleCI zatím podporováno není. Týmy na CircleCI by musely přesunout pipeline do GitHub Actions, aby mohly používat runnery CRACI, nebo počkat na další systémy CI, které jsou v plánu vývoje.

V čem je CircleCI dobré

Šíře výpočetních prostředků. CircleCI nabízí třídy prostředků Docker, Linux VM, Arm, Windows, macOS a GPU, takže jedna platforma může sestavit backend, klienta pro Windows i aplikaci pro iOS. Vlastní (self-hosted) runnery to rozšiřují na vaše vlastní stroje s Linuxem, Windows a macOS a na Kubernetes, a čas jobů na runnerech nespotřebovává kredity.

Funkce pro rychlost. Cache vrstev Dockeru je k dispozici ve všech plánech. Dělení testů rozloží sadu mezi paralelní executory podle názvu, velikosti souboru nebo historických dat o délce běhu, což u velkých testovacích sad zkracuje reálnou dobu běhu.

Opakovaně použitelná konfigurace. Orby balí joby, příkazy a executory, takže je týmy mohou znovu použít napříč projekty, a usnadňují připojení nástrojů třetích stran, včetně bezpečnostních skenerů.

Hygiena přihlašovacích údajů. Doporučení CircleCI pro dodavatelský řetězec se soustředí na ochranu tajných údajů: rozdělit je do kontextů, klíče pro nasazení a podepisování dát do omezených kontextů řízených skupinami ve vašem VCS a používat tokeny OIDC, aby se joby dostaly ke cloudovým službám bez dlouhodobých přihlašovacích údajů uložených v CircleCI.

V čem se CRACI liší

Zdrojem pravdy je build

Na tradiční platformě CI vytváří SBOM nástroj, který přidáte do pipeline a který obvykle čte manifesty a lockfily. CRACI místo toho build pozoruje. Proxy, která rozumí balíčkům, zaznamenává provoz ke zdrojům balíčků během běhu jobu, napříč zdroji npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a navíc přednastavenými zdroji stahování. Důkazy o závislostech putují spolu s cache CI, takže balíček obnovený z cache se stále započítá.

Víte, jak úplný SBOM je

Každý job vytvoří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Síť buildu má svou politiku

Funkce rozsahů IP v CircleCI směruje joby přes známé adresy CircleCI, aby je vaše vlastní systémy mohly povolit. To řeší příchozí přístup. CRACI přidává kontrolu v opačném směru: egress policy pro každý job, s výchozím zákazem nebo výchozím povolením, s 24 vestavěnými předvolbami softwarových zdrojů, typovanými vlastními zdroji a explicitními pravidly TLS, TCP, UDP a ICMP. Politiky se ověřují před startem jobu a při selhání vše zablokují (fail-closed). CRACI také poskytuje stabilní rozsah odchozích IP adres.

Původ a monitorování ze stejného záznamu

API vrací SBOM, síťové záznamy a původ. CRACI agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM.

Co se hodí k vám

• Zůstaňte u CircleCI, pokud máte kód na GitLabu nebo Bitbucketu, pokud závisíte na buildech pro Windows, macOS nebo GPU, nebo pokud spouštíte joby na vlastním hardwaru.
• Zvažte CRACI, pokud máte kód na GitHubu a rozhodujete se mezi GitHub Actions a CircleCI a dodáváte software, u kterého musíte prokázat, co se dostalo do každého vydání.
• Používejte obojí během postupného přechodu: pipeline pro macOS a Windows nechte na CircleCI a linuxové workflow GitHub Actions spouštějte na CRACI tam, kde na důkazech z buildu záleží nejvíc.

Pro Cyber Resilience Act

Unijní Cyber Resilience Act očekává, že výrobci budou vědět, co je v každém vydání, a budou řešit jeho zranitelnosti, s oznamovacími povinnostmi od září 2026 a plnou použitelností od prosince 2027. Na CircleCI tyto důkazy pocházejí z těch skenerů a orbů, které do svých pipeline zapojíte. CRACI je vytváří ze záznamu buildu a exportuje SBOM jako CycloneDX nebo SPDX, včetně zranitelností. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces zajištění souladu s CRA.

Přesun pipeline na CRACI

CRACI spouští workflow GitHub Actions, takže pipeline z CircleCI nejprve potřebuje ekvivalent v GitHub Actions. Jakmile ho má, nainstalujte do své organizace aplikaci CRACI GitHub App a nastavte label runneru:

runs-on: craci

Běhy se dál zobrazují v rozhraní GitHubu. Joby dostanou Docker Engine, Buildx a Compose v2, velikosti runnerů od 1 do 32 vCPU s 3 GB RAM na každé a podporu cache GitHub Actions. Přečtěte si více o generování SBOM z doby buildu, nebo se podívejte na ceník a program pro startupy.