CRACI a JFrog Artifactory

Dva pohledy na tentýž dodavatelský řetězec

Mnoho vývojářských organizací směruje provoz balíčků přes JFrog Artifactory. Vzdálený repozitář funguje jako cachující proxy pro veřejný registr, jako je npm nebo PyPI: stahuje balíčky na vyžádání a uchovává si kopii. Virtuální repozitáře spojují několik zdrojů za jednou URL. Vaše vlastní výstupy buildů jsou v lokálních repozitářích. Získáte tak jedno místo, kde vidíte a řídíte, co do firmy vstupuje.

CRACI stojí jinde. Je to CI runner, na kterém běží vaše joby GitHub Actions, a během běhu každého jobu zaznamenává externí závislosti, které job stáhne. Artifactory odpovídá na otázku „co prošlo našimi repozitáři?“ CRACI odpovídá na otázku „co použil právě tento build a jaký artefakt z něj vzešel?“

V čem je Artifactory dobrý

Artifactory je vyspělý správce repozitářů. Dává týmům spolehlivý přístup k upstream balíčkům přes cache, domov pro interní artefakty a jeden kontrolní bod pro mnoho typů balíčků. Platforma JFrog kolem něj přidává další funkce:

• Build-info. S JFrog CLI přidáte ke svým příkazům název a číslo buildu a publikujete JSON záznam vyřešených závislostí, vytvořených artefaktů, proměnných prostředí a údajů z Gitu. Tento záznam podporuje dohledatelnost, povyšování buildů a skenování v Xray.
• Xray. Skenuje artefakty a buildy na zranitelnosti a exportuje SBOM ve formátech SPDX a CycloneDX. Licenční matice JFrog uvádí Xray jako součást předplatných Pro X, Enterprise X a Enterprise+ (k září 2026).
• Curation. Blokuje škodlivé nebo zranitelné balíčky ve vzdáleném repozitáři dřív, než se dostanou k vývojářům, včetně balíčků, které už jsou ve vzdálené cache.

Blokování jednotlivých balíčků na úrovni registru je skutečná silná stránka. CRACI dnes jednotlivé balíčky neblokuje; blokování balíčků v celé organizaci je v plánu vývoje CRACI.

Co k tomu přidává CRACI

Přehled, který nezávisí na směrování

Artifactory vidí to, co se přes něj směruje. Buildy ne vždy spolupracují. Job může stáhnout toolchain z release na GitHubu, nainstalovat balíčky operačního systému, stáhnout base image z veřejného registru nebo spustit skript, který stáhne binárku. Vlastní dokumentace JFrog uvádí, že závislosti stažené jinými nástroji lze zaregistrovat ručně pomocí build-add-dependencies, což znamená, že o nich někdo musí vědět.

CRACI zaznamenává na úrovni runneru. Proxy rozpoznávající balíčky sleduje během jobu provoz ke zdrojům balíčků a pokrývá zdroje npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git a k tomu předvolby pro stahování. Pokud vaše instalace z npm nebo PyPI vedou přes zrcadlo Artifactory, funguje to: CRACI zaznamená i tyto balíčky.

Důkazy pro každý build bez kroků navíc

Build-info je cenné, ale musíte ho přidat do každé pipeline. V CRACI záznam existuje pro každý job, protože ho vytváří runner. Důkazy o závislostech putují spolu s cache CI, takže balíček obnovený z cache se stále započítá. Každá SBOM nese stav úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Když má záznam mezeru, řekne to.

Udržte buildy na schválené cestě

Protože job spouští CRACI, můžete nastavit jeho egress policy pro síť. Politiky mají výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů, typovanými vlastními zdroji (npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git) a explicitními pravidly pro TLS, TCP, UDP a ICMP. Ověřují se před spuštěním jobu a při selhání vše zablokují. Politika, která povoluje vašeho hostitele Artifactory a zakazuje přímý přístup k veřejným registrům, pomáhá zajistit, aby buildy skutečně používaly řízenou cestu. CRACI vás upozorní, když job svou politiku poruší.

Důkazy z buildu vedle Artifactory

API vrací SBOM, síťové stopy a původ (provenance). CRACI původ nepodepisuje. Artefakt ukládejte do Artifactory jako dosud; záznam toho, co build stáhl, pochází z CRACI.

Pro týmy, kterých se týká EU Cyber Resilience Act, tento záznam slouží jako podklad pro důkazy na úrovni vydání. CRACI agreguje zranitelnosti napříč buildy a repozitáři, průběžně znovu vyhodnocuje monitorované SBOM a exportuje je jako CycloneDX nebo SPDX. Viz důkazy pro CRA a soulad s CRA.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně. Když se objeví nová zranitelnost, uvidíte, které produkty používají zasaženou verzi, místo abyste to skládali z poznámek k vydání a tabulek.

Jak do sebe zapadají

1. Ponechte si Artifactory jako proxy pro balíčky, úložiště artefaktů a distribuční bod pro vydání.
2. Přesuňte joby GitHub Actions na CRACI změnou runs-on na craci. Workflow zůstávají stejná a běhy se dál zobrazují v rozhraní GitHubu.
3. Instalace z npm a PyPI směrujte na svá zrcadla Artifactory jako dosud.
4. Pomocí egress policy v CRACI udržte buildy u schválených zdrojů, včetně Artifactory.
5. Jako důkazy pro každé vydání používejte SBOM, původ a síťovou stopu, které CRACI vytváří pro každý build.

Pokud dnes spoléháte na JFrog build-info nebo Curation, ponechte si je. CRACI dnes podporuje jen GitHub Actions (GitLab CI a Jenkins jsou v plánu vývoje), takže pipeline v jiných CI systémech zůstávají, kde jsou.

Pokud nahrazujete samotný Artifactory, podívejte se na alternativy k JFrog Artifactory.

Časté otázky

Nahrazuje CRACI Artifactory?

Ne. CRACI není správce repozitářů. Neukládá vaše balíčky ani binárky vydání a nedistribuuje je. Spouští vaše buildy a zaznamenává o nich důkazy.

Překrývá se CRACI s Xray?

Částečně. Oba exportují SBOM ve formátech CycloneDX a SPDX a oba vám pomáhají sledovat zranitelnosti. Rozdíl je ve vstupu. Xray skenuje artefakty a buildy, o kterých JFrog ví. SBOM a přehled zranitelností v CRACI vycházejí z toho, co každý build během běhu stáhl, napříč buildy a repozitáři. Pokud je Xray součástí vašeho procesu vydávání, ponechte si ho a záznam CRACI pro každý build berte jako druhý, nezávislý zdroj.

Které typy repozitářů Artifactory fungují s CRACI?

U zrcadel npm a PyPI v Artifactory je potvrzeno, že s buildy CRACI fungují. U ostatních typů balíčků s námi probírejte své nastavení dřív, než tyto pipeline přesunete.