CRACI vs. Buildkite

Det korte svar

Buildkite er en hybrid CI/CD-platform. Dets SaaS-control plane står for orkestreringen, og de agenter, der kører dine jobs, ligger på din egen infrastruktur, on-premises eller i cloud. Buildkite oplyser, at kildekode og secrets bliver i dit miljø. Det tilbyder også fuldt administrerede hostede agenter, hvis du hellere vil undgå at drive dine egne.

CRACI er en administreret GitHub Actions-kompatibel runner bygget til sikkerhed i forsyningskæden. Det registrerer hver ekstern afhængighed, et build henter, håndhæver en egress-politik på buildets netværk og producerer SBOM'er, provenance-data og CRA-dokumentation ud fra den registrering. Kort sagt: Buildkite er traditionelt CI med maksimal kontrol over infrastrukturen; CRACI er sikkerhedsbevidst CI, hvor runneren er dokumentationen.

CRACI understøtter i dag kun GitHub Actions, så det kører ikke Buildkite-pipelines. Et team på Buildkite skal flytte en pipeline til GitHub Actions for at bruge CRACI-runnere eller vente på andre CI-systemer, som er på roadmappen.

Hvad Buildkite gør godt

Kontrol over compute. Fordi du selv hoster agenterne, vælger du hardware, styresystem, netværk og region. Agenterne poller Buildkites agent-API over HTTPS, så du behøver ikke åbne indgående porte i firewallen. Den model passer til store monorepos, specialiseret hardware og organisationer, hvis politikker holder kildekoden inden for deres egen perimeter.

Pipeline-integritet. Med signerede pipelines signeres jobs ved upload, og agenterne verificerer signaturen, før de kører dem, så en agent ikke kører et job, hvis instruktioner er ændret efter upload.

Værktøjer omkring buildet. Test Engine registrerer og sætter ustabile tests i karantæne og fordeler tests på tværs af parallelle jobs. Package Registries kan udgive artefakter med SLSA-provenance, som Buildkite siger opfylder SLSA Build Level 1; den funktion fås på Enterprise-planer.

Fleksible priser. Pr. september 2026 har Buildkite en Free-plan og en Pro-plan til $30 pr. aktiv bruger pr. måned, med 10 selvhostede agenter inkluderet på Pro og flere til $3.50 pr. agent pr. måned. Hostede Linux-agenter koster $0.004 pr. vCPU-minut, målt på sekundet.

Hvor CRACI er anderledes

Sikkerhedsdokumentation er en del af runneren

Med selvhostede agenter er det dig, der skal sikre build-miljøet. Buildkites egen sikkerhedsvejledning siger, at du skal installere minimale styresystemer, deaktivere indgående SSH og håndhæve strenge kontroller af netværks-egress. Det er en fair ansvarsfordeling, og det betyder, at dokumentationen for forsyningskæden afhænger af, hvad dit team bygger omkring agenterne.

Hos CRACI følger det lag med runneren. En pakkebevidst proxy registrerer trafikken til pakkekilderne, mens hvert job kører, på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches. Hvert job producerer en CycloneDX- eller SPDX-SBOM med en fuldstændighedsstatus pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Egress-politik, uden at du selv skal bygge den

CRACI's egress-politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. Politikker valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en alarm ved et brud.

Provenance og overvågning

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. Det samler sårbarheder på tværs af builds og repositories og bliver ved med at genvurdere overvågede SBOM'er.

Afvejningen

CRACI er kun administreret. Jobs kører i isolerede virtuelle maskiner på CRACI's infrastruktur, og kildekoden behandles i jobbets VM, så længe buildet varer, og gemmes ikke. På Enterprise-planen tilbyder CRACI dataophold i EU med build-afvikling på europæisk bare metal-infrastruktur. Kræver din politik builds på din egen hardware, opfylder Buildkites model det krav, og det gør CRACI's ikke.

Hvilken passer bedst

• Buildkite, hvis du har brug for builds på din egen hardware eller dit eget netværk, kører Windows- eller macOS-builds, bruger GitLab eller Bitbucket eller arbejder i en skala, hvor det betaler sig at eje compute.
• CRACI, hvis du er på GitHub Actions og vil have build-dokumentation uden selv at bygge og drive den: registrerede afhængigheder, egress-politik og CRA-dokumentation fra én runner.
• Begge, hvis din organisation er delt: Buildkite til pipelines, der skal blive på din hardware, CRACI til Linux-workflows i GitHub Actions. Tunge Linux-builds, som Yocto-images, kan køre på CRACI-runnere med op til 32 vCPU og 96 GB RAM, som beskrevet i CRACI's Yocto-guide.

Til Cyber Resilience Act

EU's Cyber Resilience Act kræver, at producenter ved, hvad der er i hver release, og håndterer dens sårbarheder, med rapporteringsforpligtelser fra september 2026 og fuld anvendelse fra december 2027. På Buildkite kommer den dokumentation fra de værktøjer, du kører på dine agenter. CRACI producerer den ud fra build-registreringen, bliver ved med at overvåge det, der er leveret, og eksporterer SBOM'er som CycloneDX eller SPDX, inklusive sårbarheder. Det automatiserer en væsentlig del af den indsigt i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere proces for CRA-compliance.

Sådan tilføjer du CRACI

For et repository på GitHub med GitHub Actions-workflows skal du installere CRACI's GitHub App i din organisation og sætte runner-labelen:

runs-on: craci

Kørslerne vises stadig i GitHubs brugerflade. Læs mere om SBOM-generering under buildet og hvordan CRACI håndterer sikkerhed, eller se priser.