CRACI vs Depot

Stručná odpověď

Depot je zrychlení buildů: runnery GitHub Actions, vzdálená služba pro buildy Dockeru s trvalou cache vrstev, vzdálená cache pro nástroje jako Bazel a Gradle a vlastní CI engine. CRACI je runner kompatibilní s GitHub Actions postavený kolem bezpečnosti dodavatelského řetězce. Každý job vytvoří SBOM toho, co skutečně stáhl, a běží pod egress policy, kterou si definujete.

Rozdíl v jedné větě: Depot optimalizuje, jak rychle váš build běží, a CRACI zaznamenává a řídí, co do něj vstupuje. Oba nahrazují runner hostovaný na GitHubu, takže si vyberete jeden.

Přehled

V čem je Depot dobrý

Depot vybudoval širokou, dobře zdokumentovanou platformu pro runnery a buildy. Nejdůležitější body z jeho vlastní dokumentace:

• Široká nabídka runnerů. Runnery s Linuxem na AMD EPYC (štítky Intel) a AWS Graviton4 (Arm) od 2 vCPU a 8 GB RAM až po 64 vCPU a 256 GB, k tomu Windows Server 2022 a 2025 a runnery s macOS v každém plánu.
• Cache. Runnery jsou napojené na distribuovanou cache Depot, která podle Depot dosahuje rychlosti nahrávání a stahování až 1000 MiB/s. Depot popisuje své runnery jako „až 3x rychlejší než runner hostovaný na GitHubu“ s „10x rychlejší cache“.
• Buildy Dockeru. depot build je přímá náhrada za docker build, která běží na vzdáleném hostiteli BuildKit s trvalou cache vrstev na NVMe sdílenou celým týmem a sestavuje image pro x86 a Arm nativně bez emulace QEMU. Depot uvádí, že je to až 40x rychlejší než build lokálně nebo u poskytovatele CI.
• Izolace. Každý job GitHub Actions běží na nové, jednonájemní instanci EC2, která se nikdy znovu nepoužije.
• Filtrování odchozího provozu. Pravidla povolení a zákazu pro IP adresy, CIDR a názvy hostitelů s výchozím pravidlem, které nastavíte na povolit nebo zakázat. Zatím platí pro runnery s Linuxem.
• Možnosti pro Enterprise. V plánu Business nasadí Depot Managed datovou vrstvu do vašeho vlastního účtu AWS, s AWS PrivateLink, statickými odchozími IP adresami a SSO. Depot uvádí report SOC 2 Type II.

Pokud je hlavním úzkým hrdlem vašeho CI doba buildů Docker image, Depot je postavený právě pro tento problém.

V čem je CRACI jiné

CRACI považuje build za zdroj pravdy o tom, co dodáváte. Runner je místo, kde se tyto důkazy shromažďují.

Záznam toho, co build stáhl

Během každého jobu zaznamenává proxy, která rozumí balíčkům, provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, k tomu předvolby pro stahování. Důkazy o závislostech putují spolu s cache CI, takže balíček obnovený z cache se stále započítá. SBOM každého jobu ve formátu CycloneDX nebo SPDX nese stav úplnosti pro každý job a každou cache, takže víte, kdy je záznam úplný a kdy ne.

Depot také umí vytvořit SBOM: přidejte --sbom=true k depot build a vygeneruje SBOM ve formátu SPDX pomocí Syft. Jde o sken image, který build vytvořil. Záznam CRACI pokrývá celý job, včetně nástrojů pro build a balíčků, které v image nikdy neskončí, a jobů, které image vůbec nesestavují.

Egress policy navržená pro zdroje softwaru

Oba produkty umožňují blokovat neočekávaný odchozí provoz z runneru. Politiky CRACI mají výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami zdrojů softwaru, typovanými vlastními zdroji pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git přes HTTPS a SSH a explicitními pravidly pro TLS, TCP, UDP a ICMP. Politiky se ověřují před spuštěním jobu, při selhání vše zablokují (fail-closed) a při porušení pošlou výstrahu. Pravidla Depot fungují na úrovni IP adres, CIDR a názvů hostitelů, což je jednodušší na pochopení, pokud nic víc nepotřebujete.

Údaje o původu a monitorování

• Údaje o původu. API vrací SBOM, síťové záznamy a údaje o původu. CRACI údaje o původu nepodepisuje. Buildy image v Depot mohou připojit atestace původu BuildKit, nastavené příznakem --provenance.
• Monitorování toho, co bylo dodáno. Monitorované SBOM se průběžně znovu vyhodnocují vůči novým zranitelnostem a nálezy se agregují napříč buildy a repozitáři.

Cena a velikosti

K listopadu 2026 účtuje Depot za svůj runner s Linuxem, 2 vCPU a 8 GB $0.006 za minutu nad rámec minut zahrnutých v plánu a větší velikosti se škálují lineárně: 32 vCPU stojí $0.096 za minutu. Plán Developer stojí $20 měsíčně s 2 000 minutami GitHub Actions a plán Startup $200 měsíčně s 20 000. Depot měří využití po sekundách bez minima jedné minuty na běh a nabízí 7denní zkušební verzi zdarma.

CRACI účtuje $0.002 za vCPU-minutu, takže 2 vCPU stojí $0.004 za minutu a 32 vCPU $0.064 za minutu, přičemž ARM64 má stejnou sazbu. Měří se po sekundách a neplatí se žádný měsíční poplatek. Nad rámec minut v plánu Depot je to zhruba o 33 % méně za minutu u každé velikosti. Před srovnáním sjednoťte paměť: výpočetní jednotka CRACI má 3 GB RAM na vCPU, zatímco runnery Depot mají 4 GB na vCPU. Aktuální podmínky najdete v ceníku CRACI.

Co se hodí kdy

Depot se hodí lépe, když

• Buildy Docker image zabírají většinu času vašeho CI.
• Potřebujete runnery s Windows nebo macOS. CRACI dnes podporuje jen Linux; Windows a macOS jsou v plánu vývoje.
• Potřebujete runnery uvnitř vlastního účtu AWS. CRACI zatím nenabízí runnery hostované u zákazníka; pro Enterprise jsou v plánu vývoje.
• Spoléháte na vzdálenou cache pro Bazel, Gradle, Turborepo nebo sccache.

CRACI se hodí lépe, když

• Potřebujete doložit, co šlo do vydání, přímo z buildu a se stavem úplnosti.
• Chcete řídit odchozí provoz buildu podle zdroje balíčků, s ověřením před každým jobem.
• Chcete monitorovat dodané SBOM na jednom místě.
• Potřebujete uložení dat v EU, které je k dispozici v plánu Enterprise od CRACI.

Pro Cyber Resilience Act

Cyber Resilience Act požaduje, aby výrobci znali komponenty svých produktů, řešili v nich zranitelnosti a uchovávali důkazy. Produktem Depot je infrastruktura pro buildy a jeho dokumentace se zaměřuje na rychlost, cache a izolaci. CRACI automatizuje významnou část viditelnosti do softwarového dodavatelského řetězce a důkazů, které firmy potřebují pro svůj širší proces zajištění souladu s CRA: SBOM z doby buildu, sledování zranitelností, údaje o původu a export SBOM ve formátu CycloneDX nebo SPDX.

Přechod z Depot na CRACI

Nainstalujte GitHub App CRACI do své organizace s přístupem ke všem repozitářům nebo k vybrané sadě a pak změňte štítek runneru u jobu:

runs-on: craci

Vaše workflow i rozhraní GitHubu zůstávají stejné. Přesouvejte joby po jednom a začněte jobem, který sestavuje něco, co dodáváte. Prohlédněte si jeho SBOM a síťový záznam a pak napište egress policy, která povolí zdroje, jež potřebuje. Přečtěte si více o integraci CI/CD a generování SBOM během buildu.

O cache, politikách důvěry OIDC, seznamech povolených IP adres a záložním řešení se dočtete v článku jak změnit poskytovatele runnerů GitHub Actions.