CRACI vs Namespace

Stručná odpověď

Namespace je vývojářská infrastruktura: spravované runnery GitHub Actions, vzdálené Docker buildery, cache volumes, vzdálené spouštění Bazelu a cloudová vývojová prostředí, to vše na hardwaru, který Namespace sám provozuje. CRACI je runner kompatibilní s GitHub Actions, postavený kolem bezpečnosti dodavatelského řetězce. Každý job vytvoří SBOM toho, co skutečně stáhl, a běží pod egress policy.

Oba produkty umějí omezit, kam se build v síti dostane, a egress policy u Namespace jsou dobře navržené. Rozdíl je v tom, co dalšího se na runneru děje: Namespace se soustředí na rychlost, platformy a cache, CRACI build zaznamenává a tento záznam dále využívá při monitorování zranitelností a v důkazech pro CRA. Oba nahrazují runner hostovaný na GitHubu, takže si vyberete jeden.

V kostce

Co Namespace dělá dobře

• Platformy. Linux na AMD64 (AMD EPYC) a ARM64 (AmpereOne a v předběžném přístupu Apple Silicon), Windows na AMD EPYC a macOS na Apple M5 Max nebo M4 Pro. Runnery pro Windows jsou k dispozici od plánu Team výše.
• Profily runnerů. V dashboardu vytvoříte profil s operačním systémem a konfigurací stroje a pak na něj odkážete v runs-on. Konfigurace sahají až do 64 vCPU na Linuxu a Namespace uvádí, že podpora může odemknout až 512 GB RAM.
• Cache. Cache volumes uchovávají data na lokálním úložišti mezi běhy, takže joby nemusejí pokaždé nahrávat a stahovat archiv cache. Namespace nabízí také cache pro Docker buildy, vzdálenou cache a spouštění Bazelu a cache pro Turborepo a Gradle.
• Egress policy. Politiky běží v režimu BLOCK, který odmítne vše, co není povoleno, nebo v režimu ADVISORY, který zaznamenává stejná rozhodnutí bez blokování, takže můžete allowlist sestavit ze skutečného provozu. Pravidla se shodují s doménami, spravovaná sada pravidel github-actions udržuje runnery funkční a s hloubkovou inspekcí paketů umí politika vkládat tajné údaje do hlaviček požadavků nebo směrovat provoz přes proxy. Dashboard seskupuje povolené a zamítnuté požadavky podle domény a každá instance má vlastní pohled na odchozí provoz.
• Důvěra. Namespace má SOC 2 Type II, se zprávou dostupnou v jeho Trust Center, a v enterprise plánech nabízí uložení dat výhradně v jednom regionu.

Namespace zveřejňuje výsledky zákazníků, například že DuckDB spouští své CI „10krát rychleji“. Jde o čísla Namespace pro tyto zákazníky.

V čem je CRACI jiné

CRACI bere build jako zdroj pravdy o tom, co dodáváte.

Záznam toho, co build stáhl

Během každého jobu zaznamenává proxy, která rozumí balíčkům, provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a zdroje Git a k tomu předvolby pro stahování. Důkazy o závislostech putují spolu s cache CI, takže balíček obnovený z cache se stále započítá. SBOM každého jobu, ve formátu CycloneDX nebo SPDX, nese stav úplnosti pro každý job a každou cache. Logy odchozího provozu u Namespace vám řeknou, které domény runner kontaktoval. Záznam CRACI vám řekne, které balíčky a verze z nich build stáhl.

Egress policy, férově srovnaná

Politiky CRACI jsou default deny nebo default allow, s 24 vestavěnými předvolbami softwarových zdrojů, typovanými vlastními zdroji pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git přes HTTPS a SSH a s explicitními pravidly pro TLS, TCP, UDP a ICMP. Politiky se ověřují před spuštěním jobu, při selhání vše zablokují, odmítají neznámá pole a při porušení odešlou výstrahu.

Namespace má náskok ve dvou oblastech. Jeho poradní režim vám umožní politiku sledovat dříve, než ji začnete vynucovat, a monitorovací režim CRACI je zatím v plánu vývoje. Jeho vkládání tajných údajů a pravidla pro proxy nemají v CRACI obdobu. CRACI se liší tím, že jeho zdroje jsou typované podle ekosystému balíčků a protokolu, místo aby byly uvedeny jako domény, a tentýž job, který běží pod politikou, zároveň vytvoří záznam stažených balíčků.

Původ a monitorování

• Údaje o původu. API vrací SBOM, síťové záznamy a údaje o původu. CRACI údaje o původu nepodepisuje a nedeklaruje žádnou úroveň SLSA.
• Monitorování toho, co bylo dodáno. Monitorované SBOM se průběžně znovu vyhodnocují vůči novým zranitelnostem a nálezy se agregují napříč buildy a repozitáři.

Cena a velikosti

Namespace účtuje v jednotkových minutách, kde jedna jednotka je 1 vCPU a 2 GB RAM na jednu minutu na Linuxu. K září 2026 stojí linuxový runner s 2 vCPU a 4 GB $0.002 za minutu v rámci minut plánu a $0.003 za minutu nad rámec. Plán Team stojí $100 měsíčně se 100 000 jednotkovými minutami a Business $250 měsíčně s 250 000. Windows čerpá minuty dvojnásobnou sazbou oproti Linuxu a macOS desetinásobnou. Využití má minimum jedné minuty na job a poté se zaokrouhluje na minuty; v příkladu Namespace se 150 sekund účtuje jako 3 minuty.

CRACI účtuje $0.002 za vCPU-minutu, takže runner s 2 vCPU a 6 GB RAM stojí $0.004 za minutu, ARM64 za stejnou sazbu, účtováno po sekundách a bez měsíčního poplatku. Ceníková cena za minutu je u Namespace nižší, s minimem jedné minuty na job. Jeho standardní konfigurace mají 2 GB RAM na vCPU a ty od CRACI 3 GB, takže před srovnáním zvolte konfiguraci, kterou vaše buildy potřebují. Aktuální podmínky najdete v ceníku CRACI.

Co se hodí pro vás

Namespace se hodí lépe, když

• Potřebujete runnery pro macOS nebo Windows. CRACI je zatím jen pro Linux; Windows a macOS jsou v plánu vývoje.
• Chcete vyzkoušet egress policy v poradním režimu dříve, než ji začnete vynucovat.
• Závisíte na vzdáleném spouštění Bazelu nebo na cache volumes.
• Provozujete také agenty Buildkite nebo cloudová vývojová prostředí a chcete jednoho dodavatele.

CRACI se hodí lépe, když

• Potřebujete přímo z buildu doložit, co se dostalo do vydání, včetně stavu úplnosti.
• Chcete monitorovat dodané SBOM na jednom místě.
• Potřebujete důkazy pro Cyber Resilience Act.
• Potřebujete uložení dat v EU, které je dostupné v plánu Enterprise od CRACI.

Pro Cyber Resilience Act

Cyber Resilience Act požaduje, aby výrobci znali komponenty ve svých produktech, řešili jejich zranitelnosti a uchovávali důkazy. Produktem Namespace je rychlá CI a vývojová infrastruktura. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA: SBOM z doby buildu exportované jako CycloneDX nebo SPDX, sledování zranitelností a údaje o původu přes API. Viz důkazy pro CRA.

Přechod z Namespace na CRACI

Nainstalujte do své organizace aplikaci CRACI GitHub App s přístupem ke všem repozitářům nebo k vybraným a pak u jobu změňte štítek runneru:

runs-on: craci

Přesouvejte joby jeden po druhém, zkontrolujte jejich SBOM a síťový záznam a přečtěte si více o integraci CI/CD a generování SBOM v době buildu.

O cache, politikách důvěry OIDC, IP allowlistech a záložním řešení si přečtěte v návodu jak změnit poskytovatele runnerů GitHub Actions.