CRACI vs. Depot | GitHub Actions-runnere og dokumentation

Det korte svar

Depot er build-acceleration: GitHub Actions-runnere, en ekstern Docker-build-tjeneste med en vedvarende lagcache, en ekstern cache til værktøjer som Bazel og Gradle og sin egen CI-motor. CRACI er en GitHub Actions-kompatibel runner bygget op om forsyningskædesikkerhed. Hvert job producerer en SBOM over det, det faktisk hentede, og kører under en egress-politik, du selv definerer.

Forskellen på én linje: Depot optimerer, hvor hurtigt dit build kører, og CRACI registrerer og kontrollerer, hvad der går ind i det. Begge erstatter den GitHub-hostede runner, så du vælger én.

Overblik

Funktion	CRACI	Depot
Registrering af, hvad hvert job hentede	Pakkebevidst proxy registrerer hvert job
SBOM	Pr. job, med en fuldstændighedsstatus	Syft SPDX-scanning af depot build-images
Egress-politik på runneren	Presets for pakkekilder, valideret før jobbet	Allow- og deny-regler, Linux-runnere
Build-provenance	Provenance-data via API'et; ikke signeret	BuildKit-attestationer på images
Overvågning af leverede SBOM'er	Løbende genvurdering af sårbarheder
CRA-dokumentation og rapporter	SBOM'er i CycloneDX eller SPDX, registreringer via API; ingen rapporteksport
Accelererede Docker-image-builds	Lokale, eksterne og bind mount-lagcaches	Ekstern BuildKit, vedvarende NVMe-cache
Windows- og macOS-runnere	Kun Linux i dag	macOS fra Startup-planen
Runnere i din egen cloud	Kundehostede runnere, Enterprise	Din AWS-konto, Business-plan
Pris, 2 vCPU Linux	$0.004 pr. minut (6 GB RAM). ARM64 til samme pris.	$0.006 pr. minut efter inkluderede minutter (8 GB RAM). Arm til samme pris.
Planer	$0.004 pr. 2 vCPU-minut, målt pr. sekund. Intet månedligt gebyr.	Developer $20 pr. måned (2.000 minutter), Startup $200 (20.000 minutter).

Inkluderet
Delvist
Ikke inkluderet
På roadmappen

Hvad Depot gør godt

Depot har bygget en bred, veldokumenteret platform til runnere og builds. Højdepunkter fra dets egen dokumentation:

Et bredt udvalg af runnere. Linux-runnere på AMD EPYC (Intel-labels) og AWS Graviton4 (Arm) fra 2 vCPU'er og 8 GB RAM op til 64 vCPU'er og 256 GB plus Windows Server 2022 og 2025 og macOS-runnere på Startup- og Business-planerne.
Caching. Runnere er koblet til Depots distribuerede cache, som ifølge Depot når upload- og downloadhastigheder på op til 1000 MiB/s. Depot beskriver sine runnere som "up to 3x faster than a GitHub-hosted runner" med "10x faster caching".
Docker-builds. depot build er en drop-in-erstatning for docker build, der kører på en ekstern BuildKit-host med en vedvarende NVMe-lagcache, som deles i hele dit team, og bygger x86- og Arm-images nativt uden QEMU-emulering. Depot siger, at det er op til 40 gange hurtigere end at bygge lokalt eller hos en CI-udbyder.
Isolation. Hvert GitHub Actions-job kører på en ny single-tenant EC2-instans, der aldrig genbruges.
Egress-filtrering. Allow- og deny-regler for IP-adresser, CIDR'er og hostnavne med en standardregel, du sætter til allow eller deny. Den gælder i øjeblikket for Linux-runnere.
Enterprise-muligheder. På Business-planen udruller Depot Managed dataplanet i din egen AWS-konto med AWS PrivateLink, statiske udgående IP-adresser og SSO. Depot nævner en SOC 2 Type II-rapport.

Er byggetiden for Docker-images din største flaskehals i CI, er Depot bygget til præcis det problem.

Hvor CRACI er anderledes

CRACI behandler buildet som sandhedskilden for det, du leverer. Runneren er stedet, hvor den dokumentation samles.

En registrering af, hvad buildet hentede

Mens hvert job kører, registrerer en pakkebevidst proxy trafikken til pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig tæller med. Hvert jobs SBOM, i CycloneDX eller SPDX, har en fuldstændighedsstatus pr. job og pr. cache, så du ved, hvornår registreringen er komplet, og hvornår den ikke er.

Depot kan også producere en SBOM: Tilføj --sbom=true til depot build, så genererer det en SPDX-SBOM med Syft. Det er en scanning af det image, buildet producerede. CRACI's registrering dækker hele jobbet, inklusive build-værktøjer og pakker, der aldrig ender i et image, og jobs, der slet ikke bygger images.

Egress-politik bygget til softwarekilder

Begge produkter lader dig blokere uventet udgående trafik fra en runner. CRACI-politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git over HTTPS og SSH og eksplicitte TLS-, TCP-, UDP- og ICMP-regler. Politikker valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en alarm ved et brud. Depots regler arbejder på niveauet for IP-adresser, CIDR'er og hostnavne, hvilket er enklere at overskue, hvis det er alt, du har brug for.

Provenance og overvågning

Provenance-data. API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. Depots image-builds kan vedhæfte BuildKit-provenance-attestationer, der sættes med flaget --provenance.
Overvågning af det leverede. Overvågede SBOM'er genvurderes løbende mod nye sårbarheder, og fund samles på tværs af builds og repositories.

Pris og størrelser

Pr. september 2026 tager Depot $0.006 pr. minut for sin Linux-runner med 2 vCPU og 8 GB ud over de minutter, der er inkluderet i din plan, og større størrelser skalerer lineært: 32 vCPU'er koster $0.096 pr. minut. Developer-planen koster $20 pr. måned med 2.000 GitHub Actions-minutter, og Startup-planen koster $200 pr. måned med 20.000. Depot sporer forbrug pr. sekund uden et minimum på ét minut pr. kørsel og tilbyder en gratis prøveperiode på 7 dage.

CRACI afregner $0.002 pr. vCPU-minut, så 2 vCPU'er koster $0.004 pr. minut og 32 vCPU'er $0.064 pr. minut, med ARM64 til samme pris. Måling sker pr. sekund, og der er intet månedligt gebyr. Ud over Depots planminutter er det cirka 33 % mindre pr. minut i alle størrelser. Afstem hukommelsen, før du sammenligner: En CRACI-beregningsenhed har 3 GB RAM pr. vCPU, mens Depots runnere har 4 GB pr. vCPU. Se CRACI's priser for aktuelle vilkår.

Hvilken passer bedst

Depot passer bedre, når

Docker-image-builds fylder mest i din CI-tid.
Du har brug for Windows- eller macOS-runnere. CRACI understøtter kun Linux i dag; Windows og macOS er på roadmappen.
Du har brug for runnere inde i din egen AWS-konto. CRACI tilbyder endnu ikke kundehostede runnere; de er på roadmappen til Enterprise.
Du er afhængig af ekstern caching til Bazel, Gradle, Turborepo eller sccache.

CRACI passer bedre, når

Du skal vise, hvad der gik ind i en release, fra selve buildet, med en fuldstændighedsstatus.
Du vil have build-egress kontrolleret efter pakkekilde og valideret før hvert job.
Du vil have overvågning af leverede SBOM'er ét sted.
Du har brug for dataopbevaring i EU, som er tilgængelig på CRACI's Enterprise-plan.

Til Cyber Resilience Act

Cyber Resilience Act beder producenter om at kende komponenterne i deres produkter, håndtere sårbarheder i dem og gemme dokumentation. Depots produkt er build-infrastruktur, og dets dokumentation fokuserer på hastighed, caching og isolation. CRACI automatiserer en væsentlig del af den indsigt i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere proces for CRA-compliance: SBOM'er fra buildet, sporing af sårbarheder, provenance og SBOM-eksport som CycloneDX eller SPDX.

Skift fra Depot til CRACI

Installér CRACI's GitHub App i din organisation, med adgang til alle repositories eller et udvalg, og ændr derefter runner-labelen på et job:

runs-on: craci

Dine workflows og GitHubs brugerflade forbliver de samme. Flyt ét job ad gangen, og start med et job, der bygger noget, du leverer. Se på dets SBOM og netværkstrace, og skriv derefter en egress-politik, der tillader de kilder, det har brug for. Læs mere om CI/CD-integration og SBOM-generering under buildet.