Hvad CRACI kan nå, og hvad det gemmer

Derfor fortjener spørgsmålet et ligefremt svar

En CI-runner ser mere end de fleste værktøjer i din stack. Den checker din kildekode ud, installerer dine afhængigheder og har de secrets, dine workflows bruger til at publicere pakker og deploye. Da GitHub Action tj-actions/changed-files blev kompromitteret i marts 2025, rapporterede CISA, at den ondsindede kode eksponerede secrets, herunder adgangsnøgler, GitHub personal access tokens, npm-tokens og private RSA-nøgler. Det er på runneren, disse secrets befinder sig, mens et job kører.

Før du peger et workflow mod CRACI, bør du derfor vide præcis, hvad det kan nå. Svarene står nedenfor, og CRACI Trust Center og docs.craci.com har detaljerne.

Hvad GitHub-appen er til

CRACI erstatter runneren, ikke GitHub Actions. Du beholder dine workflows, ændrer runs-on til craci for de jobs, du vælger, og kørslerne vises stadig i GitHubs brugerflade. For at det kan virke, installerer din organisation CRACI's GitHub-app.

Når du installerer den, giver du appen adgang til enten alle repositories eller et udvalgt sæt. Kun de repositories, du giver adgang til, kan køre workflows på CRACI.

De præcise rettigheder, appen beder om, står på GitHubs installationsskærm, og du kan gennemgå dem bagefter i din organisations indstillinger. Kort sagt kan appen læse din kode og dine Actions-kørsler, og den administrerer de runnere, den registrerer for din organisation.

Hvor din kode kører

Jobs kører i isolerede virtuelle maskiner. Build-eksekvering kører på europæisk bare metal-infrastruktur. Din kildekode behandles inde i jobbets VM, så længe buildet varer.

Hvert job kører på et af tre images: CRACI Slim, CRACI Slim ARM64 eller et GitHub-kompatibelt Ubuntu 24.04-image. Runnere findes kun til Linux i dag; Windows og macOS er på roadmappen.

Hvordan jobs isoleres, og hvad der sker med et jobs VM, når det slutter, er dokumenteret på docs.craci.com og i Trust Center.

Hvad CRACI gemmer, og hvor længe

CRACI behandler din kildekode i jobbets VM, mens buildet kører, og gemmer den ikke. Det, der gemmes, er den dokumentation, CRACI registrerer om hvert build, plus de caches, dine workflows gemmer:

• Build-metadata
• Pakkedata, det vil sige de afhængigheder, hvert job trak ind
• Netværkstraces fra jobbet
• SBOM'er
• Provenance-registreringer
• Caches
• Revisionsregistreringer

En cache indeholder det, dit workflow lægger i den, så behandl cacheindhold på samme måde som ethvert andet build-output.

Standardperioden for dataopbevaring er 180 dage. Enterprise-planer kan fastsætte en tilpasset opbevaringsperiode. Sletning og kryptering af data er beskrevet i Trust Center.

Hosting og dataopbevaring

CRACI er hostet i Europa og tilbyder dataopbevaring i EU, med build-eksekvering på europæisk bare metal-infrastruktur. Platformen kører hos Hetzner, en tysk udbyder, i et datacenter i Tuusula i Finland. Se dataopbevaring for, hvilke data CRACI håndterer.

Kontroller, du får på selve buildet

En runner, der ser dine secrets, bør også lade dig begrænse, hvor de kan gå hen. CRACI's netværks-egress-politikker sætter en standard på deny eller allow for hvert job, med 24 indbyggede presets for almindelige softwarekilder og typede brugerdefinerede kilder for registries som npm, PyPI, Cargo, Go proxy og OCI. Du kan også skrive eksplicitte TLS-, TCP-, UDP- og ICMP-regler. Politikker valideres, før jobbet starter, blokerer ved fejl (fail closed) og afviser ukendte felter. Alarmer markerer overtrædelser af politikken.

Jobs går ud fra et stabilt egress-IP-interval, så du kan tillade CRACI-runnere gennem dine egne firewalls efter adresse.

Adgang i din organisation

• Enterprise-planer understøtter SAML single sign-on med Google Workspace som identitetsudbyder.
• En revisionslog for administratorer registrerer administrative handlinger. Den er tilgængelig i brugerfladen og kan endnu ikke eksporteres.
• API-tokens oprettes af administratorer, kan tilbagekaldes når som helst og udløber efter 90 dage.

Sådan holder du omfanget lille

Du behøver ikke give CRACI hele din organisation for at evaluere det.

1. Installér på udvalgte repositories. Vælg "Only select repositories", når du installerer appen, og udvælg et eller to. Du kan udvide eller indskrænke sættet senere fra din organisations Settings under GitHub Apps, CRACI, Configure. Ændringen træder i kraft med det samme.
2. Flyt ét job ad gangen. Kun jobs med runs-on: craci kører på CRACI. Alt andet bliver på den runner, det bruger i dag.
3. Start med et job med få secrets. Et test- eller lint-job viser dig SBOM'en og netværksdokumentationen uden at lægge publicerings- eller deployment-legitimationsoplysninger på en ny runner.
4. Slå en egress-politik med default deny til. Tillad de pakkekilder, jobbet har brug for, og intet andet.
5. Vid, hvordan du kommer ud igen. I GitHub kan du suspendere appen, hvilket blokerer dens adgang, mens den forbliver installeret, eller afinstallere den, hvilket fjerner dens adgang til din organisation.

Vores sikkerhedsposition

Vores sikkerhedsside forklarer vores tilgang: dokumenteret, ikke påstået. Trust Center samler politikkerne, kontrollerne og dokumentationen bag platformen, og det er her, du kan anmode om materiale til en leverandørvurdering.

Denne side fremsætter ingen påstande om certificering. Den aktuelle status for vores sikkerhedsprogram og eventuelt revisionsarbejde finder du i Trust Center.