CRACI vs RunsOn

Stručná odpověď

RunsOn jsou self-hosted runnery GitHub Actions bez údržby flotily runnerů. Jeden stack CloudFormation nebo modul Terraform ho nasadí do vašeho účtu AWS; každý job pak dostane novou instanci EC2 libovolného typu a AWS účtuje výpočetní výkon za nákladové ceny. Pokud chcete runnery ve vlastním cloudovém účtu a co nejnižší účet za výpočetní výkon, zejména na spot instancích, RunsOn se těžko překonává.

CRACI je CI, které bezpečnost dodavatelského řetězce řeší nativně. Je to spravovaný runner kompatibilní s GitHub Actions a bezpečnost je součástí runneru, ne nástrojem přidaným k němu: CRACI zaznamenává každou externí závislost, kterou build stáhl, vynucuje egress policy v síti buildu a z tohoto záznamu vytváří SBOM, monitorování zranitelností a důkazy. Oba produkty nahrazují runner, na kterém vaše joby běží, takže si vyberete jeden.

Přehled

Co RunsOn dělá dobře

Váš účet, vaše data. Řídicí vrstva, VM runnerů, cache v S3 i logy jsou ve vašem účtu AWS a vlastní datové toky RunsOn se omezují na ověřování licence, telemetrii a podporu. Pro týmy, jejichž bezpečnostní kontrola končí u věty „třetí strana spouští náš kód a tajné klíče“, je to přesně ta odpověď, kterou má RunsOn dávat. Runnery CRACI jsou dnes spravované; runnery hostované zákazníkem má v plánu vývoje pro Enterprise.

Jakákoli instance, jedna na job. Štítek runs-on vybírá stroj, takže job si může říct o velkou výpočetně optimalizovanou instanci, GPU, lokální úložiště NVMe nebo Windows. Každý job dostane novou instanci EC2, která se po jeho skončení zničí, a RunsOn uvádí, že joby obvykle startují zhruba za 30 sekund, s warm pools za méně než 6.

Náklady. RunsOn nepřidává k výpočetnímu výkonu AWS žádnou přirážku a účtuje paušální licenci od zhruba $348 (€300) ročně. Uvádí, že výsledek je 7 až 12krát levnější než runnery hostované na GitHubu. Spot instance s automatickým přepnutím na on-demand účet dál snižují. Jde o údaje RunsOn; skutečné číslo určí váš mix instancí a region.

Cache a observabilita. Cache v S3 ve vaší VPC nahrazuje cache GitHubu bez jejího limitu velikosti, cache vrstev Dockeru je vestavěná a sticky disky EBS a sdílené svazky EFS uchovávají stav mezi joby. Metriky a reporty nákladů pro každý job jdou do CloudWatch a OpenTelemetry.

Bezpečnostní doplňky. Integrace se StepSecurity Harden-Runner přidává monitorování a filtrování odchozího provozu a detekci neoprávněných změn zdrojového kódu během buildu, s enterprise licencí StepSecurity.

Cena a velikosti

Jen co do výpočetního výkonu stojí RunsOn na spot instancích zlomek ceny CRACI, která je $0.004 za minutu 2 vCPU. Srovnání ale není jen o ceně za minutu. U RunsOn platíte také licenci a služby AWS kolem runnerů, například NAT gateway pro statické IP, a stack vlastní váš tým: aktualizace, kvóty AWS i incidenty. CRACI je jedna cena za minutu, účtovaná po sekundách, bez měsíčního poplatku, a infrastrukturu provozuje CRACI. Aktuální podmínky najdete v ceníku CRACI a širší srovnání výhod a nevýhod v článku spravované vs. vlastní runnery.

Co do rychlosti CRACI spouští buildy zhruba dvakrát rychleji než runnery hostované na GitHubu, díky rychlejšímu hardwaru, kratšímu čekání ve frontě a cache. Rychlost RunsOn závisí na typu instance, který zvolíte. Vzájemný benchmark obou jsme nedělali.

V čem je CRACI jiné

Záznam toho, co build stáhl

Zatímco každý job běží, proxy, která rozumí balíčkům, zaznamenává provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a zdroje Git, plus presety pro stahování. Důkazy o závislostech putují spolu s cache CI, takže se počítají i balíčky obnovené z cache. Patří sem i skryté závislosti, které žádný lockfile neuvádí, například kód stažený instalačními hooky nebo skripty buildu, a vrstvy základních image. Každý job vytvoří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache.

Kontrola nad tím, kam se build připojí

Security groups určují, do kterých sítí se runner RunsOn dostane; nevědí ale, který registr balíčků má job používat. Egress policy od CRACI to ví: výchozí blokování nebo výchozí povolení, 24 vestavěných presetů softwarových zdrojů, typované vlastní zdroje pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git přes HTTPS a SSH a explicitní pravidla pro TLS, TCP, UDP a ICMP. Politiky se ověřují před spuštěním jobu, při selhání vše zablokují a při porušení pošlou upozornění. Protože politika povoluje jen to, co build potřebuje, blokuje exfiltraci na hosty, které build nepotřebuje, i při útoku, který ještě nikdo neviděl.

Harden-Runner na RunsOn jde v jednom ohledu dál: sleduje také změny zdrojových souborů během buildu, což CRACI nedělá.

Původ a monitorování

API vrací SBOM, síťové záznamy a původ. CRACI původ nepodepisuje a nehlásí se k žádné úrovni SLSA. Agreguje zranitelnosti napříč buildy a repozitáři a monitorované SBOM průběžně znovu vyhodnocuje.

Dvě různé bezpečnostní otázky

RunsOn odpovídá na otázku „kdo drží můj kód, tajné klíče a stav runnerů?“ tím, že vše nechává ve vašem účtu AWS. CRACI odpovídá na jinou otázku: „co tento build stáhl a kam se připojil?“ CRACI spouští každý job ve vlastní izolované VM, neukládá váš zdrojový kód a má certifikaci ISO 27001. Druhou odpověď po vás chce auditor, zákazník nebo Cyber Resilience Act.

Rezervujte si demo a podívejte se na SBOM, síťový záznam a původ z jednoho z vašich vlastních workflow.

Co se hodí kdy

RunsOn se hodí lépe, když

• Runnery musí běžet ve vašem vlastním účtu AWS vedle prostředků ve vaší VPC.
• Nejvíc záleží na nejnižších nákladech na výpočetní výkon a provoz stacku v AWS vám nevadí.
• Už dnes potřebujete runnery pro Windows, instance s GPU nebo konkrétní typy instancí EC2.
• Vaše projekty jsou nekomerční, což RunsOn pokrývá zdarma.

CRACI se hodí lépe, když

• Dodáváte software, u kterého musíte doložit, co šlo do každého vydání, přímo z buildu.
• Chcete omezit, kam se buildy připojí, politikou, která při selhání vše zablokuje a nevyžaduje další licenci.
• Potřebujete monitorovat, co jste dodali, aniž byste do každého workflow přidávali nástroje.
• Nechcete provozovat infrastrukturu CI a chcete buildy na evropské infrastruktuře.

Čeho se s CRACI vzdáváte. Runnerů ve vlastním účtu AWS, které jsou v plánu vývoje pro Enterprise, runnerů pro Windows, které jsou také v plánu vývoje, a nejnižšího účtu za výpočetní výkon. Získáte záznam buildu, který může bezpečnost i compliance použít bez dalšího skeneru v pipeline, na infrastruktuře, kterou nemusíte provozovat.

Pro Cyber Resilience Act

Unijní Cyber Resilience Act očekává, že výrobci vědí, co je v každém vydání, a řeší jeho zranitelnosti, s oznamovacími povinnostmi od září 2026 a plnou použitelností od prosince 2027. Self-hosted runner tyto důkazy sám nevytvoří; do workflow byste museli přidat nástroje pro SBOM a skenování. CRACI je vytváří ze záznamu buildu a exportuje SBOM ve formátu CycloneDX nebo SPDX. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA.

Přechod z RunsOn

CRACI nahrazuje runner, ne GitHub Actions. Workflow i rozhraní GitHubu zůstávají stejné a štítek jobu se změní na runs-on: craci. Joby dostanou Docker Engine, Buildx a Compose v2, image Ubuntu 24.04 kompatibilní s GitHubem a vnořenou virtualizaci na x86-64. Přečtěte si víc o integraci CI/CD a generování SBOM v době buildu. Startupy se mohou přihlásit do programu pro startupy.

O cache, trust policy OIDC, allowlistech IP adres a fallbacku si přečtěte v článku jak změnit poskytovatele runnerů GitHub Actions.

RunsOn vs CRACI: časté dotazy

Ceny, hosting, platformy a bezpečnost, zodpovězené podle veřejných informací každého dodavatele

Co je RunsOn?

RunsOn jsou self-hosted runnery GitHub Actions v podobě produktu. Do vlastního účtu AWS nasadíte jeden stack CloudFormation nebo modul Terraform a RunsOn pro každý job spustí novou instanci EC2 a po skončení jobu ji ukončí. Runnery, cache, logy a přihlašovací údaje zůstávají ve vašem účtu AWS. Založil ho v roce 2023 Cyril Rohr, který sídlí ve francouzském Rennes.

Kolik RunsOn stojí?

K září 2026 účtuje RunsOn paušální roční licenci na právní subjekt: od zhruba $348 (€300) ročně u Starter, zhruba $1,044 (€900) u Growth, zhruba $2,088 (€1,800) u Scale a zhruba $4,176 (€3,600) u Enterprise, podle toho, kolik runnerů měsíčně spustíte. Výpočetní výkon účtuje přímo AWS, po sekundách, bez přirážky RunsOn. RunsOn uvádí spot instanci 2 vCPU x64 v us-east-1 za zhruba $0.0009 za minutu. Pro nekomerční použití je zdarma a má 15denní zkušební verzi.

Je RunsOn levnější než CRACI?

U výpočetního výkonu ano, a na spot instancích výrazně. CRACI účtuje $0.004 za minutu 2 vCPU, zatímco spot instance 2 vCPU přes RunsOn stojí v us-east-1 zhruba $0.0009 za minutu, plus licence. Do celku patří také síť a úložiště v AWS a čas na provoz stacku. CRACI na runneru přidává záznam buildu: SBOM pro každý job, egress policy, údaje o původu a monitorování zranitelností.

Generuje RunsOn SBOM nebo původ buildu?

Mezi zdokumentovanými funkcemi to není. RunsOn se zaměřuje na výpočetní výkon, cache, náklady a observabilitu ve vašem účtu AWS. CRACI zaznamenává balíčky, které každý job stáhne, včetně balíčků obnovených z cache, a vytváří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti. API vrací SBOM, síťové záznamy a původ.

Může RunsOn omezit, kam se build v síti připojí?

Runnery RunsOn sedí ve vaší VPC, takže platí security groups a směrování AWS a statické odchozí IP pocházejí z NAT gateway. Pro filtrování odchozího provozu uvnitř jobu RunsOn integruje StepSecurity Harden-Runner, který vytvoří výchozí profil odchozího provozu každého jobu a může ho vynucovat jako allowlist; na RunsOn vyžaduje enterprise licenci StepSecurity. CRACI vynucuje egress policy přímo na runneru: výchozí blokování nebo povolení, 24 vestavěných presetů softwarových zdrojů, ověření před spuštěním jobu a při selhání vše zablokuje.

Mohu CRACI provozovat ve vlastním účtu AWS?

Dnes ne. Runnery CRACI jsou spravované, na evropské infrastruktuře, a runnery hostované zákazníkem jsou v plánu vývoje pro plán Enterprise. Pokud jsou runnery ve vašem vlastním účtu AWS nutným požadavkem, RunsOn je postavený přesně pro to.

Podporuje CRACI runnery pro Windows nebo macOS?

CRACI dnes spouští Linux na x86-64 a ARM64, Windows a macOS jsou v plánu vývoje. RunsOn nabízí Windows Server 2022 a 2025 a instance s GPU; joby pro macOS zůstávají i u RunsOn na runnerech hostovaných na GitHubu.

Musím kvůli přechodu přepsat svá workflow GitHub Actions?

Ne. Oba produkty nahrazují runner, ne GitHub Actions. Workflow, triggery i rozhraní GitHubu zůstávají stejné; na CRACI se štítek jobu změní na runs-on: craci.