Evropské runnery pro GitHub Actions

Co evropský runner mění a co ne

Pipeline GitHub Actions má vrstvy a každá z nich může být jinde. Runner CI je jen jednou z nich: stroj, na kterém se job spouští. Takto vypadá, kdo jednotlivé vrstvy provozuje a kde, ve třech běžných uspořádáních.

Vrstva	Runnery hostované na GitHubu na github.com	GitHub Enterprise Cloud s umístěním dat v EU	Runnery CRACI
Úložiště repozitáře a zdrojového kódu	GitHub; github.com ve výchozím stavu ukládá data v USA	GitHub, v regionu EU	GitHub, stejně jako ve vašem současném uspořádání. CRACI zpracovává kód ve virtuálním stroji jobu a neukládá ho
Orchestrace, běhy workflow, logy, rozhraní checků	GitHub	GitHub; data a logy Actions uložené v regionu EU	GitHub, stejně jako ve vašem současném uspořádání
Úložiště tajných klíčů	GitHub	GitHub	GitHub; předávají se runneru CRACI při spuštění jobu
Spouštění buildu	Runnery hostované na GitHubu v Microsoft Azure a u některých standardních linuxových jobů v AWS; regiony neuvedeny	Hostované runnery v regionech Azure v EU, prostřednictvím privátních sítí Azure	Runnery CRACI na evropské bare-metal infrastruktuře
Záznam toho, co build stáhl	Nezaznamenává se	Nezaznamenává se	SBOM a síťové záznamy, uchovávané CRACI, hostované v Evropě
Artefakty z actions/upload-artifact	GitHub	GitHub; data Actions uložená v regionu EU	GitHub, stejně jako ve vašem současném uspořádání
Kdo ji provozuje	GitHub, společnost Microsoftu	GitHub, společnost Microsoftu	GitHub pro řídicí vrstvu; CRACI Corporation Oy, finská společnost, pro runner

Jednoduše řečeno: s CRACI běží výpočetní kapacita, která během buildu vidí váš kód a tajné klíče, v Evropě a provozuje ji evropská společnost, a totéž platí pro záznam každého balíčku, který build stáhl. GitHub dál uchovává kód a orchestruje job. CRACI nahrazuje runner, ne GitHub Actions.

Umístění dat není suverenita

Umístění dat (data residency) se týká toho, kde se data ukládají a zpracovávají. Suverenita přidává dvě další otázky: kdo data ovládá a jaké právo se na tuto stranu vztahuje, včetně toho, která jurisdikce může provozovatele donutit data vydat. Evropské datové centrum provozované společností mimo Evropu vám dává umístění dat, ne suverenitu. Které jurisdikce jsou ve vašem případě podstatné, je otázka pro vaše právníky, ne pro dodavatele runnerů.

Rozhodovací pravidlo, které obstojí při auditu: sepište každou vrstvu z tabulky výše, zapište si, kdo ji provozuje a kde běží, a porovnejte to se svým požadavkem. Pokud požadavek pokrývá jen to, kde se buildy spouštějí a kde jsou data buildů, evropský runner ho splní. Pokud pokrývá řídicí vrstvu nebo úložiště kódu, samotný runner nestačí.

Vaše možnosti v Evropě

Možnost	Co běží v Evropě	Kdo ji provozuje	Omezení
GitHub Enterprise Cloud s umístěním dat (GHE.com)	Kód a data Actions v regionu EU; hostované runnery v regionech Azure v EU prostřednictvím privátních sítí Azure (x64 ve France Central a Sweden Central, arm64 ve France Central)	GitHub	Pouze Enterprise Cloud; samostatný enterprise účet na GHE.com
CRACI	Spravované linuxové runnery na evropské bare-metal infrastruktuře, včetně důkazů z buildu	CRACI Corporation Oy, evropská společnost	Dnes pouze GitHub Actions a Linux
Ubicloud	Runnery GitHub Actions v jeho evropských regionech, v Německu a Finsku	Ubicloud, s kancelářemi v San Francisku, Amstelveenu a Istanbulu	Runnery s Ubuntu
Avrea	Avrea uvádí poskytovatele hostingu včetně Aiven, Google Cloud a OVHcloud a žádá zákazníky, aby s ní požadavky na umístění dat probrali	Avrea, založená v Helsinkách	Umístění dat se dohaduje s Avreou, není zveřejněno po regionech
Blacksmith	Stroje v Amsterdamu a Frankfurtu i v USA; organizace může požádat o přesun do jiného regionu	Blacksmith, s řídicí vrstvou v AWS	Evropské umístění, ne evropský provozovatel
Vlastní (self-hosted) runnery v evropském cloudu	Vaše runnery na serverech evropského poskytovatele, s Actions Runner Controller nebo s obyčejnými virtuálními stroji	Vy	Záplatujete, izolujete a škálujete je sami
Jiná platforma CI na evropském hostingu	Vše včetně řídicí vrstvy: GitLab self-managed nebo instance Forgejo či Gitea	Vy nebo váš hostingový partner	Migrace CI, ne výměna runneru

Podrobnosti jeden na jednoho najdete v CRACI vs Ubicloud, CRACI vs Avrea a CRACI vs Blacksmith, širší přehled v srovnání poskytovatelů runnerů pro GitHub Actions. Pokud zvažujete vlastní provoz, podívejte se na spravované vs vlastní runnery.

Co CRACI provozuje v Evropě

• Spravované runnery hostované v Evropě. Buildy běží na evropské bare-metal infrastruktuře, kterou provozuje CRACI Corporation Oy. CRACI dnes nabízí spravované runnery; runnery hostované u zákazníka jsou v plánu vývoje.
• Umístění dat v EU v plánu Enterprise. Plán Enterprise uvádí umístění dat v EU spolu s vlastní dobou uchování a SAML SSO.
• Izolace. Každý job běží ve vlastním izolovaném virtuálním stroji.
• Co CRACI uchovává a co ne. CRACI zpracovává váš zdrojový kód ve virtuálním stroji jobu a neukládá ho. Uchovává metadata buildů, data o balíčcích, síťové záznamy, SBOM, údaje o původu, cache a auditní záznamy. Cache obsahují cokoli, co do nich vaše workflow uloží.
• Stabilní rozsah odchozích IP adres pro allowlisty, ke kterým se váš build připojuje.
• Certifikace. Systém řízení bezpečnosti informací společnosti CRACI Corporation Oy pro vývoj a provoz platformy CRACI je certifikován podle ISO/IEC 27001 společností Into Certification. CRACI je v souladu s GDPR.

Podrobnosti pro vaše bezpečnostní posouzení najdete na stránkách bezpečnost, Trust Center a k čemu má CRACI přístup.

Proč se vyplatí přesunout vrstvu buildu

I když GitHub zůstává, runner je vrstva, kterou se vyplatí přesunout jako první. Právě tam se kompiluje váš kód za přítomnosti vašich tajných klíčů a právě tam do vašeho produktu vstupují balíčky třetích stran. Jeho provoz na evropské infrastruktuře udržuje toto spouštění i záznam každého staženého balíčku na infrastruktuře provozované evropskou společností, nikoli na výpočetní kapacitě amerického hyperscalera.

Tento záznam je zároveň důkazem. CRACI zaznamenává závislosti každého jobu jako SBOM se stavem úplnosti, pod egress policy, která při selhání vše zablokuje (fail-closed), a dál je monitoruje kvůli novým zranitelnostem. Evropská regulace, jako je Cyber Resilience Act, od výrobců stále častěji požaduje právě takový záznam.

Přechod znamená změnu labelu: runs-on: craci. CRACI spouští buildy zhruba dvakrát rychleji než runnery hostované na GitHubu díky rychlejšímu hardwaru, kratším frontám a cachování a účtuje pouze minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku. Viz runnery CRACI, ceník a jak změnit poskytovatele runnerů.

Kdy CRACI není řešením

• Váš požadavek pokrývá řídicí vrstvu nebo úložiště kódu. Evropský runner nestačí. Potřebujete GitLab self-managed nebo vlastní hostovanou forge v Evropě; viz alternativy ke GitLabu. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.
• Runnery musí běžet na vašem vlastním hardwaru nebo ve vašem vlastním cloudovém tenantu. Runnery CRACI hostované u zákazníka jsou v plánu vývoje, dnes nejsou k dispozici.
• Potřebujete buildy pro macOS nebo Windows v Evropě. CRACI dnes provozuje Linux na x86-64 a ARM64, Windows a macOS jsou v plánu vývoje.
• Potřebujete nejnižší cenu za minutu. Jiné evropské možnosti uvádějí nižší ceny.

Evropské runnery pro GitHub Actions: časté dotazy

Mohou buildy GitHub Actions běžet v EU?

Ano. Build běží tam, kde je runner, takže runner na evropské infrastruktuře spouští váš build v Evropě. Získat ho můžete od poskytovatele spravovaných runnerů, jako je CRACI, z GitHub Enterprise Cloud s umístěním dat, který dokáže umístit hostované runnery do regionů Azure v EU, nebo provozem vlastních (self-hosted) runnerů v evropském cloudu.

Existuje evropský poskytovatel runnerů pro GitHub Actions?

Ano. CRACI je evropská společnost a její spravované runnery pro GitHub Actions běží na evropské bare-metal infrastruktuře. Stroje v Evropě provozují i další poskytovatelé; ověřte si jak to, kde stroje jsou, tak to, která společnost je provozuje.

Pokud je můj runner v EU, je moje CI suverénní?

Samo o sobě ne. Evropský runner přesune spouštění buildu a záznam o tom, co build stáhl. GitHub dál ukládá kód, tajné klíče, logy a artefakty a orchestruje každý job. Chcete-li GitHub vyřadit úplně, potřebujete jinou platformu CI na evropském hostingu.

Jaká data zůstávají u GitHubu, když používám evropský runner?

Repozitář, soubory workflow, úložiště tajných klíčů, běhy workflow a logy, rozhraní checků a artefakty nahrané pomocí actions/upload-artifact. Runner během běhu jobu dostává kód a tajné klíče jobu. CRACI zpracovává váš kód ve virtuálním stroji jobu a neukládá ho.

Nabízí GitHub pro Actions umístění dat v EU?

V GitHub Enterprise Cloud s umístěním dat, hostovaném na GHE.com, si můžete zvolit region EU a GitHub tam ukládá repozitáře i data a logy Actions. Jeho hostované runnery mohou běžet v regionech Azure v EU prostřednictvím privátních sítí Azure. Provozovatelem je ale stále GitHub a nabídka je určena pouze zákazníkům Enterprise Cloud.

Jaký je rozdíl mezi umístěním dat v EU a suverenitou?

Umístění dat (data residency) se týká toho, kde se data ukládají a zpracovávají. Suverenita k tomu přidává, kdo data ovládá a jaké právo se na tuto stranu vztahuje. Evropské datové centrum provozované společností mimo Evropu vám dává umístění dat, ne suverenitu. Sepište každou vrstvu své pipeline, kdo ji provozuje a kde, a porovnejte to se svým požadavkem.