Co CRACI ve vašem stacku nahradí a s čím funguje souběžně

Krátká odpověď: co přejde a co zůstane

Pomocí této tabulky si zmapujte vlastní stack. Každý řádek je úloha, kterou dnes dělá některý nástroj ve vašem stacku, co tato úloha potřebuje vidět, aby ji šlo udělat, a zda ji CRACI z místa, kde stojí, dělá.

Úloha ve vašem stacku	Co úloha potřebuje vidět	CRACI	Co si ponecháte a proč
Runnery CI pro linuxové joby v GitHub Actions: hostované na GitHubu, od externího poskytovatele runnerů nebo vlastní self-hosted flotila	Místo, kde job spustit	Nahrazuje	Runnery pro Windows, macOS, GitHub Enterprise Server a jiné systémy CI než GitHub Actions, které CRACI dnes nepodporuje
Monitorování sítě nebo egress agenti přidaní na runnery, které si ponecháváte	Odchozí provoz jobu	Nahrazuje na runnerech CRACI	Agenti na runnerech, které si ponecháváte jinde
Generátory SBOM spouštěné v CI tým od týmu: skenery manifestů, lockfilů nebo image používané k vytváření SBOM	Co build skutečně stáhl	Nahrazuje u buildů na CRACI	Generátory pro software, který na CRACI nesestavujete, například image, které stahujete a nikdy nesestavujete
Vestavěné generování SBOM v Yocto (create-spdx) pro pokrytí dodavatelského řetězce	Každý zdroj a nástroj, který build BitBake stáhl	Nahrazuje pro pokrytí dodavatelského řetězce	create-spdx, pokud spoléháte na jeho metadata receptů: aplikované patche a CVE označené jako opravené
Sledování zranitelností na základě SBOM: nahrávání SBOM, párování bezpečnostních upozornění, hlídání nových	Přesná a aktuální SBOM pro každé vydání	Nahrazuje u buildů na CRACI; lze přidat SBOM dodavatelů	Specializovaný nástroj, pokud potřebujete, co CRACI nedělá: dosažitelnost, metriky nápravy jako MTTR nebo termíny podle závažnosti
SBOM a seznamy komponent vedené v tabulkách	Přesná a aktuální SBOM pro každé vydání	Nahrazuje	Nic
Kontroly deklarovaných licencí a licenční politika	Deklarovaná licence každé komponenty	Částečně	Skenování licencí v plném textu a na úrovni úryvků, licenční upozornění (attribution notices)
SAST a skenování kódu	Váš zdrojový kód	Funguje souběžně	Ponechte si ho; beze změny běží jako krok workflow na runneru CRACI
Skenování tajných klíčů a push protection	Váš repozitář a commity	Funguje souběžně	Ponechte si ho
DAST a testování API	Vaše běžící služba	Funguje souběžně	Ponechte si ho
Analýza binárek a firmwaru třetích stran	Hotová binárka, kterou jste nesestavili	Funguje souběžně	Ponechte si ji
Skenování úryvků a signatur u zkopírovaného nebo vendorovaného kódu	Obsah souborů v repozitáři	Funguje souběžně	Ponechte si ho
Prioritizace podle dosažitelnosti	Váš graf volání	Funguje souběžně	Ponechte si ji, pokud na ni spoléháte
Skenování IaC, clusterů a chybných konfigurací	Konfigurace a běžící infrastruktura	Funguje souběžně	Ponechte si ho
Kontroly stavu zabezpečení CI/CD v konfiguraci workflow	Soubory a nastavení workflow	Funguje souběžně	Ponechte si je
Tikety, správa případů PSIRT, publikování bezpečnostních upozornění	Váš proces	Funguje souběžně	Ponechte si je
Automatizace souladu: sběr důkazů pro audity SOC 2 nebo ISO 27001	Vaše kontroly napříč systémy	Funguje souběžně	Ponechte si ji; záznamy CRACI jsou důkazy, které může sbírat

Před a po

Před: runnery hostované na GitHubu, ve workflow každého týmu jiný generátor SBOM, create-spdx v Yocto, který prodlužuje build, a SBOM nahrávané do trackeru nebo tabulky, kolem toho skenování kódu, skenování tajných klíčů, analýza binárek a tikety. Po: runnery CRACI, které spouštějí každý job, vynucují jeho politiku odchozího provozu, zaznamenávají jeho SBOM a drží ji pod monitorováním. Nástroje, které čtou kód, repozitáře, binárky a váš proces, zůstávají beze změny.

Co CRACI nahrazuje a proč

Každá z těchto úloh probíhá během buildu. CRACI je může převzít, protože build běží právě na něm. U každé najdete: mechanismus, čeho se vzdáváte, a příklad.

Vaše runnery

CRACI je runner pro GitHub Actions. Změníte runs-on na craci a běhy se dál zobrazují v GitHubu jako kterýkoli jiný job Actions. Každý job dostane vlastní virtuální stroj, s Linuxem na x86-64 nebo ARM64, o velikosti od 1 do 32 vCPU, účtovaný po sekundách. Workflow není třeba přepisovat: vaše stávající kroky, včetně kroků skenování, běží dál.

CRACI účtuje pouze minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku a bez poplatku za SBOM. Díky tomu patří k nejdostupnějším runnerům CI. Buildy spouští zhruba dvakrát rychleji než runnery hostované na GitHubu, díky rychlejšímu hardwaru, kratšímu čekání ve frontě a cache.

Runner, za minutu	CRACI	GitHub-hosted	Rozdíl
2 vCPU x64	$0.004	$0.006	CRACI zhruba o 33 % levnější
2 vCPU ARM64	$0.004	$0.005	CRACI o 20 % levnější
32 vCPU x64	$0.064	$0.082	CRACI zhruba o 22 % levnější
32 vCPU ARM64	$0.064	$0.050	CRACI o 28 % dražší

Ceníkové ceny GitHubu ke září 2026. GitHub zaokrouhluje každý job nahoru na celou minutu, CRACI účtuje po sekundách. Příklad: 10minutový build na 2jádrovém runneru x64 hostovaném na GitHubu stojí $0.060. Při zhruba dvojnásobné rychlosti trvá na runneru CRACI se 2 vCPU 5 minut a stojí $0.020, tedy zhruba o 67 % méně. Viz ceník a ceny runnerů CI.

Čeho se vzdáváte. Runnery pro Windows a macOS, jiné systémy CI a runnery hostované u zákazníka dnes nejsou k dispozici; GitLab CI, Jenkins, Windows, macOS a runnery hostované u zákazníka jsou v plánu vývoje. GitHub Enterprise Server není podporován. Runnery jsou spravované, na evropské infrastruktuře. Pokud zvažujete spravované runnery proti vlastní flotile, podívejte se na spravované vs self-hosted runnery.

Egress agenti na runnerech, které si ponecháváte

Egress agent sleduje nebo omezuje provoz runneru, který provozuje někdo jiný. U CRACI vynucuje politiku odchozího provozu samotný runner: výchozí zákaz nebo povolení, 24 vestavěných předvoleb softwarových zdrojů, typované vlastní zdroje pro registry balíčků a Git a explicitní síťová pravidla. Politika se ověřuje před spuštěním jobu, při selhání vše zablokuje (fail-closed) a CRACI upozorňuje na její porušení. Na runnerech CRACI není samostatný agent potřeba.

Příklad: kompromitovaná závislost se pokusí odeslat tajné klíče jobu na hostitele, kterého build nikdy nepotřeboval. S politikou výchozího zákazu je spojení zablokováno, i při útoku, který nikdo dřív neviděl, protože politika povoluje jen to, co build potřebuje, místo aby hledala známé škodlivé hostitele.

Čeho se vzdáváte. Politika se vztahuje na joby na runnerech CRACI. Runnery, které si ponecháváte jinde, stále potřebují vlastní kontrolu.

Generátor SBOM ve workflow každého týmu

Generátor čte soubory, které má před sebou, například manifest, lockfile nebo image, a rekonstruuje, co do buildu vstoupilo. Různé generátory vracejí ze stejného checkoutu různé seznamy a týmy si obvykle vybírají vlastní, takže organizace skončí s několika inventáři, které spolu nesouhlasí.

CRACI zaznamenává balíčky, které každý job skutečně stáhl, včetně balíčků obnovených z cache CI a skrytých závislostí, které nástroje založené na lockfilech přehlédnou: kód stažený instalačními hooky npm, build skripty v Rustu, které stahují v době buildu, a základní image s vrstvami operačního systému při buildu kontejneru. Každá komponenta v SBOM v buildu skutečně byla. SBOM každého jobu uvádí svou úplnost jako Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded, takže mezera je vidět, místo aby zůstala skrytá. Výsledkem je jeden inventář pro každý repozitář, který se sestavuje na CRACI, exportovaný ve formátu CycloneDX nebo SPDX. Dnes zaznamenávané ekosystémy: zdroje npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git a k tomu stahování v Yocto a OpenEmbedded.

Příklad: expressjs/express 5.2.1 necommituje žádný lockfile. Generátor, který vyhodnocuje závislosti z lockfilů, tam nemá co vyhodnotit, a přesto může vrátit dokument, který neuvádí žádnou ze závislostí npm deklarovaných v package.json. Build stejného projektu na CRACI zaznamená balíčky, které npm install stáhl. Více o metodě najdete v článcích SBOM z doby buildu a srovnání nástrojů SCA a SBOM; vlastní sestavu generátorů popisuje DIY stack pro SBOM.

Čeho se vzdáváte. Ekosystémů, které CRACI zatím nezaznamenává. Maven a Java jsou v plánu vývoje a cokoli, co v seznamu výše není, pokryto není. Pro tyto buildy si generátor ponechte.

Vestavěné generování SBOM v Yocto

Yocto zapisuje vlastní SBOM ve formátu SPDX přes create-spdx a to, co BitBake sestavuje, popisuje důkladně. Nevidí ale, co se děje mimo metadata BitBake. CRACI spouští build BitBake a zaznamenává, co stáhl. Při srovnávacím buildu core-image-sato na nativním runneru ARM64 s 32 vCPU obsahovala SBOM od CRACI každou komponentu ze SBOM od Yocto a navíc 88, které Yocto vynechalo: 23 balíčků hostitele na stroji buildu, 10 zdrojů z GitHubu včetně GitHub Action actions/upload-artifact a 55 dalších zdrojů a nástrojů stažených během buildu. Zaznamenala všech 653 verzí crates v Rustu s package URL pkg:cargo, takže je lze párovat s bezpečnostními upozorněními. Build bez generování SBOM v Yocto trval o 43 % kratší dobu: zhruba $9.96 oproti $5.68 za build za cenu CRACI.

Čeho se vzdáváte. SPDX z Yocto nese metadata receptů, která CRACI nezaznamenává: aplikované patche a CVE označené jako opravené. Pokud na ně spoléháte, nechte create-spdx zapnutý. Metodu a úplné srovnání najdete na stránce buildy Yocto na CRACI.

Od SBOM ke sledování zranitelností

Samostatný tracker je třeba krmit SBOM a věří čemukoli, co dostane. CRACI SBOM vytváří a záznam uchovává. Monitorované SBOM se průběžně znovu vyhodnocují, jakmile se zveřejní nová bezpečnostní upozornění. Historie buildů ukazuje, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, takže znáte období, kdy jste byli zasaženi, v rámci doby uchování vašeho plánu. Triáž nálezů je směruje k týmu, který odpovídá za opravu, CRACI informuje příslušné osoby o zranitelnosti a její závažnosti a kontrolní brány politik mohou build kvůli nálezům zablokovat, včetně buildu, který obsahuje konkrétní CVE. VEX je podporován. Lze přidat SBOM dodavatelů, takže nakoupené komponenty se monitorují spolu s vašimi buildy.

Příklad: zveřejní se bezpečnostní upozornění pro crate, který jedna z vašich služeb zkompilovala před třemi měsíci. CRACI ho porovná se všemi monitorovanými SBOM a ukáže, které buildy tuto verzi obsahovaly, aniž by kdokoli cokoli znovu nahrával.

Čeho se vzdáváte. CRACI nenabízí analýzu dosažitelnosti ani metriky nápravy jako MTTR, termíny podle závažnosti nebo trendy backlogu. Pokud na nich závisíte, ponechte si nástroj, který je poskytuje. Úplný popis funkce najdete na stránce sledování zranitelností.

Tabulka

U týmů bez nástrojů pro SBOM nahrazuje CRACI ruční skládání: někdo před vydáním nebo auditem kopíruje seznamy závislostí do tabulky. Build na CRACI vytváří SBOM jako vedlejší produkt svého běhu, takže seznam existuje pro každý build, ne jen pro ty, na které si někdo vzpomněl.

S čím CRACI funguje souběžně a jak

Tyto nástroje čtou věci, které CRACI nikdy nečte. CRACI nečte váš zdrojový kód kvůli chybám, netestuje běžící služby a neanalyzuje binárky, které nesestavil. Běží dál tak jako dnes.

Nástroje, které čtou váš kód a repozitář

SAST, skenování tajných klíčů a push protection, skenování úryvků a signatur, skenování IaC a kontroly stavu zabezpečení CI/CD zkoumají váš kód, vaše commity nebo vaši konfiguraci. Kroky ve vašem workflow běží na runneru CRACI beze změny a funkce na úrovni repozitáře zůstávají nedotčené, protože na runneru nikdy neběžely. Krok skenování kódu může být ve stejném jobu jako váš build. SAST je mimo záběr záměrně: s CRACI souběžně funguje spousta vynikajících nástrojů SAST. Jak se oba druhy nálezů liší, popisuje stránka SAST vs SCA.

Nástroje, které zkoumají to, co jste nesestavili

Analýza binárek a firmwaru od dodavatelů, skenery image, které stahujete, ale nikdy nesestavujete, a DAST proti běžícím službám se dívají na něco, co bylo sestaveno jinde nebo už běží. CRACI zaznamenává buildy; binárka od dodavatele byla sestavena někde, kde ji CRACI nikdy neviděl. Pokud vám dodavatel dá SBOM, CRACI ji může monitorovat spolu s vašimi buildy.

Prioritizace podle dosažitelnosti čte váš graf volání, který CRACI neanalyzuje. Pokud na ni spoléháte, ponechte si ji; co vám může a nemůže říct, popisuje stránka analýza dosažitelnosti.

Procesní systémy

Tikety, správa případů PSIRT, publikování bezpečnostních upozornění a platformy pro automatizaci souladu řídí váš proces napříč mnoha systémy. CRACI předává nálezy odpovědnému týmu a uchovává důkazy z buildu; na zbytek si ponechte své procesní nástroje. Záznamy opouštějí CRACI jako SBOM ve formátu CycloneDX nebo SPDX a přes API, které vrací SBOM, síťové záznamy a údaje o původu. Pro stránku auditu se podívejte na kontroly SBOM pro SOC 2. Pro práci s licencemi nad rámec deklarovaných licencí, jako jsou licenční upozornění a revize plného textu, se podívejte na soulad s open source licencemi. CRACI u každé komponenty přenáší její deklarovanou licenci a vynucuje pravidla licenční politiky, včetně zablokování buildu kvůli licenci.

Jak najít místo, kde CRACI ve vašem stacku něco nahradí

Pět otázek, na které odpovíte za jedno odpoledne. Každá odpověď vám řekne, zda se řádek ve vašem stacku posune.

1. Běží vaše buildy v GitHub Actions na Linuxu? Pokud ano, runnery přejdou. Pokud ne, CRACI dnes nic nenahradí.
2. Kdo dnes generuje SBOM a kolik různých generátorů se používá? Každý generátor v repozitáři, který převedete na CRACI, je řádek, který odpadá.
3. Sestavujete image Yocto? Pokud ano, než create-spdx vypnete, ověřte, zda někdo nespoléhá na aplikované patche a opravené CVE v jeho výstupu.
4. Kam SBOM po vygenerování putují: do trackeru, do tabulky, nikam? Tento nástroj nebo proces je druhý řádek, který odpadá, pokud z něj nepotřebujete dosažitelnost nebo metriky nápravy.
5. Které z vašich bezpečnostních nástrojů čtou kód, repozitáře nebo binárky třetích stran? Ty zůstávají. Sepište si je, aby nikdo nečekal, že je CRACI nahradí.

Příklad z praxe

Ilustrativní výrobce zařízení, nezaložený na žádné skutečné firmě: linuxové buildy na runnerech hostovaných na GitHubu, dva týmy se dvěma různými generátory SBOM, produktová řada Yocto se zapnutým create-spdx, SBOM shromažďované ve sdílené tabulce, sada pro skenování kódu a tiketový systém. Jeho bezpečnostní tým odpoví ano na otázky 1 a 3, u otázky 2 najde dva generátory a u otázky 4 tabulku a u otázky 5 uvede skenování kódu, skenování tajných klíčů a tiketový systém. Metadata o patchích v SPDX z Yocto nikdo nepoužívá.

Přejde na CRACI	Zůstane
Runnery hostované na GitHubu pro linuxové joby	Skenování kódu, spouštěné jako krok na runnerech CRACI
Oba generátory SBOM	Skenování tajných klíčů
create-spdx, protože jeho metadata o patchích nikdo nepotřebuje	Tiketový systém
Tabulka se SBOM

Na řádku runnerů stojí 10minutový build, který na 2jádrovém runneru x64 hostovaném na GitHubu stojí $0.060, na CRACI díky zrychlení zhruba $0.020. Náklady na ostatní nástroje si firma doplní sama.

Kdy CRACI není řešením

• Vaše pipeline běží na GitLab CI, Jenkins, Azure DevOps nebo jiném systému CI. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje, takže zatím nic nenahradí.
• Vaše buildy potřebují runnery s Windows nebo macOS nebo GitHub Enterprise Server, nebo musí běžet na vaší vlastní infrastruktuře.
• Vaším hlavním problémem je šum ze skenování vlastního kódu. To je otázka vyladění SAST; viz SAST vs SCA a jak omezit šum výstrah ke zranitelnostem.
• Vaším hlavním rizikem jsou firmware a binárky, které dostáváte od dodavatelů, ne kód, který sestavujete.
• Váš stack je převážně Java a Maven, které jsou v plánu vývoje, nebo .NET, který v seznamu ekosystémů zaznamenávaných CRACI není.
• Potřebujete už dnes prioritizaci podle dosažitelnosti nebo správu případů PSIRT.

Krok za krokem popisuje produkt stránka jak CRACI funguje; samotnou SBOM stránka generování SBOM.

Co CRACI nahrazuje: časté dotazy

Co CRACI nahrazuje?

Vaše runnery GitHub Actions pro linuxové joby, generátory SBOM, které týmy spouštějí v CI, u buildů, které přejdou na CRACI, create-spdx v Yocto pro pokrytí dodavatelského řetězce, egress agenty na runnerech a samostatné sledování zranitelností na základě SBOM u těchto buildů. Nenahrazuje nástroje, které čtou váš kód, repozitáře nebo binárky třetích stran.

Je CRACI doplněk k našemu nástroji SCA, nebo něco nahrazuje?

Nahrazuje úlohy ve vrstvě buildu: runner, generování SBOM a sledování, které ze SBOM vychází. Zda to nahradí váš nástroj SCA, záleží na tom, k čemu ho používáte. Pokud čte váš kód, provádí analýzu úryvků nebo binárek nebo vám dává dosažitelnost, tyto části zůstávají.

Potřebujeme ještě svůj generátor SBOM, když buildy spouštíme na CRACI?

Ne pro buildy, které běží na CRACI a používají ekosystémy, které zaznamenává. CRACI zaznamenává balíčky, které každý job stáhl, a exportuje SBOM ve formátu CycloneDX nebo SPDX. Generátor si ponechte pro software, který na CRACI nesestavujete, například image, které stahujete, a pro ekosystémy, které CRACI zatím nezaznamenává, například Maven.

Potřebujeme ještě vestavěné generování SBOM v Yocto (create-spdx)?

Pro pokrytí dodavatelského řetězce ne: při srovnávacím buildu core-image-sato obsahovala SBOM od CRACI každou komponentu ze SBOM od Yocto a navíc 88, které Yocto vynechalo, a build bez create-spdx trval o 43 % kratší dobu. Nechte create-spdx zapnutý, pokud spoléháte na jeho aplikované patche a CVE označené jako opravené, které CRACI nezaznamenává.

Nahrazuje CRACI skenování kódu nebo skenování tajných klíčů?

Ne. CRACI nečte váš zdrojový kód ani commity kvůli chybám nebo tajným klíčům. Tyto nástroje si ponechte. Kroky skenování kódu běží ve vašem workflow na runneru CRACI beze změny a funkce na úrovni repozitáře zůstávají nedotčené.

Nahrazuje CRACI analýzu binárek nebo firmwaru?

Ne. CRACI zaznamenává buildy, které spouští. Pro firmware a binárky, které dostáváte od dodavatelů, je správným nástrojem analýza binárek. Pokud vám dodavatel dá SBOM, CRACI ji může monitorovat spolu s vašimi buildy.

Můžeme si v GitHub Actions na runnerech CRACI ponechat stávající bezpečnostní kroky?

Ano. CRACI nahrazuje runner, ne GitHub Actions: nastavíte runs-on na craci a vaše workflow, kroky i výsledky zůstávají v GitHubu. Kroky skenování, testů i všechny ostatní kroky běží dál jako dřív.