CRACI vs Harness

Stručná odpověď

Harness, založený v roce 2017 se sídlem v San Franciscu, prodává platformu na vše, co následuje po napsání kódu: continuous integration, continuous delivery, feature flagy, správu nákladů na cloud, chaos engineering a bezpečnostní testování. Jeho modul Supply Chain Security (SCS) přidává generování SBOM, původ SLSA, policy gates OPA a kontroly bezpečnostní pozice repozitářů a pipeline. Pokud chcete jednoho dodavatele pro celou pipeline dodávání, napříč několika poskytovateli Gitu, Harness je pro to stavěný.

CRACI je užší a jde hlouběji do buildu. Je to runner GitHub Actions: během běhu každého jobu zaznamenává každou externí závislost, kterou build stáhne, vynucuje egress policy v síti buildu a z tohoto záznamu vytváří SBOM, údaje o původu a monitorování zranitelností. Harness přidává do pipeline kroky pro dodavatelský řetězec; CRACI dělá bezpečnostním záznamem samotný runner.

Nejdřív jeden praktický bod. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Pipeline Harness CI by se musely přesunout do GitHub Actions, aby mohly běžet na CRACI.

Na první pohled

V čem je Harness dobrý

Jedna platforma pro dodávání. Harness pokrývá CI, CD, GitOps, feature flagy, infrastrukturu jako kód, chaos engineering a správu nákladů na cloud, s vynucováním politik založeným na OPA napříč nimi. Funguje s GitHubem, GitLabem, Bitbucketem, Azure Repos i vlastními repozitáři Harness Code a uvádí, že obsluhuje více než 1 000 enterprise zákazníků a má více než 1 200 zaměstnanců.

Volba infrastruktury pro buildy. Harness Cloud spouští buildy na strojích s Linuxem, Windows a macOS spravovaných Harness: Linux AMD64 od 2 do 96 jader, ARM64 od 2 do 64 jader za stejnou sazbu a macOS na Apple M4. Na Linuxu AMD64 je k dispozici vnořená virtualizace. Buildy můžete spouštět i na vlastních clusterech Kubernetes, virtuálních strojích nebo bare metalu. Test Intelligence spouští jen testy, kterých se změna týká, a Build Intelligence a funkce cache znovu využívají nezměněné výstupy a závislosti.

Funkce dodavatelského řetězce v pipeline. Krok SBOM Orchestration modulu SCS generuje SBOM pro image kontejneru nebo repozitář kódu pomocí Syft nebo cdxgen, ve formátu SPDX nebo CycloneDX, a umí načítat SBOM z jiných nástrojů. Harness uvádí, že SBOM generuje a aktualizuje při každém buildu. Politiky OPA mohou blokovat buildy a nasazení kvůli komponentám, licencím nebo původu a sledovač nápravy hlídá zranitelné artefakty.

Původ SLSA. Harness dokumentuje SLSA Build Level 1, 2 a 3 podle SLSA v1.0, s původem podepsaným pomocí atestací in-toto a cosign. Jeho dokumentace uvádí, že Level 3 vyžaduje zabezpečenou infrastrukturu pro buildy nebo Harness Cloud, který od sebe izoluje procesy buildů.

Kontroly bezpečnostní pozice a pipeline. SCS audituje repozitáře a pipeline podle OWASP Top 10 CI/CD Security Risks a benchmarků CIS a označuje nepřipnuté, neověřené a příliš oprávněné GitHub Actions. Harness nabízí své kroky SCS i jako komponenty GitHub Actions a GitLab CI/CD, takže modul není vázaný na Harness CI; tyto kroky vyžadují účet Harness s licencí SCS.

V čem se CRACI liší

SBOM pochází z buildu, ne ze skenu jeho výstupu

Syft a cdxgen jsou skenery: dodatečně čtou image nebo repozitář a z lockfilů, manifestů a databází balíčků odvozují, co v nich je. To funguje dobře, když tyto soubory říkají vše. Buildy ale často dělají víc: instalační skripty stahují kód, build skripty v Rustu stahují během buildu a cache obnovují balíčky, které žádný lockfile nezmiňuje.

CRACI tento provoz vidí, protože je runnerem. Proxy, která rozumí balíčkům, zaznamenává, co každý job stáhne ze zdrojů balíčků, napříč zdroji npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git a k tomu předvolbami pro stahování, a důkazy o závislostech se přenášejí spolu s cache CI. Zaznamenává skryté závislosti, které nástroje založené na lockfilech přehlédnou, a každá SBOM uvádí, jak je úplná, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Politika v síti buildu, ne detekce po něm

Harness uvádí, že jeho modul detekuje neobvyklé chování runnerů CI, včetně síťových volání a eskalace oprávnění. CRACI jde opačnou cestou: egress policy na runneru rozhoduje, na které hosty se job smí připojit. Politiky mají výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji, ověřují se před spuštěním jobu a jsou fail-closed. Protože politika s výchozím zákazem povoluje jen to, co build potřebuje, místo hledání známých škodlivých hostů, zablokuje odesílání dat na server útočníka i u útoku, který dosud nikdo neviděl. Porušení politiky odešle upozornění.

Původ a monitorování ze stejného záznamu

API vrací SBOM, síťové záznamy a údaje o původu. CRACI původ nepodepisuje a nedeklaruje žádnou úroveň SLSA; Harness svůj původ podepisuje a dokumentuje úrovně 1 až 3, a pokud je podepsaný původ nebo úroveň SLSA požadavkem nákupu, hovoří to pro Harness. CRACI agreguje zranitelnosti napříč buildy a repozitáři, monitorované SBOM dál znovu vyhodnocuje, jakmile se objeví bezpečnostní upozornění, a ukazuje, které dřívější buildy obsahovaly zranitelnou závislost, takže víte, v jakém období jste byli zasaženi.

Ceny, které si můžete přečíst

CRACI účtuje jen minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku a bez poplatku za SBOM. Harness zveřejňuje sazby Harness Cloud, $0.005 za minutu za 2jádrový stroj s Linuxem a 7 GB a $0.080 za 32 jader, účtováno na celé minuty, zatímco jeho placené plány a modul SCS se oceňují přes obchod. Ceníková cena CRACI je za minutu u obou velikostí o 20 % nižší ($0.004 proti $0.005, $0.064 proti $0.080); stroje Harness mají více paměti na jádro.

Co se hodí pro vás

• Zůstaňte u Harness, pokud chcete CI, CD, feature flagy a správu nákladů od jednoho dodavatele, pokud je váš kód na GitLabu, Bitbucketu nebo v Azure Repos, pokud potřebujete Windows, macOS nebo vlastní hardware pro buildy, nebo pokud je doložená úroveň SLSA Build Level 3 požadavkem.
• Zvolte CRACI, pokud je váš kód na GitHubu a používáte nebo plánujete používat GitHub Actions a chcete, aby SBOM, síťová politika a původ pocházely z runneru, který build provedl, s cenou podle minut buildu.

Mějte jasno v tom, čeho se volbou CRACI vzdáváte. Nenasazuje software, nespravuje feature flagy ani náklady na cloud a nekontroluje repozitáře a pipeline podle benchmarků bezpečnostní pozice ani neskenuje zdrojový kód. Dnes spouští pouze joby na Linuxu, Windows a macOS jsou v plánu vývoje a runnery hostované zákazníkem jsou v plánu vývoje pro Enterprise.

Pro regulované produkty

Rámce jako Cyber Resilience Act EU očekávají, že výrobci budou vědět, co obsahuje každé vydání, a budou řešit jeho zranitelnosti, s oznamovacími povinnostmi od září 2026. Harness dodává SBOM, původ a výsledky politik ze svých kroků pipeline. CRACI vytváří důkazy ze záznamu buildu a exportuje SBOM jako CycloneDX nebo SPDX. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firma potřebuje pro svůj širší proces CRA; ani jeden z nástrojů sám o sobě nezajistí soulad produktu.

Přesun pipeline na CRACI

CRACI nahrazuje runner, ne GitHub Actions, a běhy se dál zobrazují v rozhraní GitHubu. Jakmile pipeline běží jako workflow GitHub Actions, spustíte ji na CRACI jedním řádkem:

runs-on: craci

Přečtěte si více o generování SBOM během buildu, porovnejte platformy CI/CD, podívejte se na alternativy k Harness nebo na ceník.