CRACI-runnere vs GitHub-hostede runnere

Samme workflows, hurtigere runner

Bruger du GitHub Actions, kører dine jobs på GitHub-hostede runnere, medmindre du har sat dine egne op. De er praktiske: Hvert job får en frisk virtuel maskine, der er intet at drive, og Linux, Windows og macOS er alle tilgængelige.

CRACI er en GitHub Actions-kompatibel runner. Installér CRACI's GitHub App på din organisation, på alle repositories eller et udvalgt sæt, og ændr én linje i dit workflow:

runs-on: craci

Dine workflow-filer, actions og GitHubs brugerflade forbliver de samme. CRACI erstatter runneren, ikke GitHub Actions, og giver dig tre ting, en runner til generelle formål ikke giver: hurtigere builds, en lavere regning og sikkerhed for forsyningskæden indbygget i den maskine, der kører jobbet.

Hastighed

Builds på CRACI bliver færdige på cirka halvdelen af den tid, de tager på GitHubs hostede standardrunnere. Tre ting lægger sig oven i hinanden: hurtigere hardware, kortere køtider, før et job starter, og caching.

Hvor meget hurtigere dine egne builds bliver, afhænger af arbejdsbelastningen. CPU-bundne kompileringer og testsuiter vinder mest tid; jobs, der bruger det meste af tiden på at vente på netværket eller eksterne tjenester, vinder mindre. Det, der hjælper:

• Runnerstørrelser fra 1 til 32 compute units, så tunge jobs kan bede om mere.
• Native x86-64 og ARM64, så ARM-builds ikke har brug for emulering.
• Understøttelse af GitHub Actions-cachen plus Docker Engine, Buildx og Compose v2 i hvert job.
• Nested virtualization på x86-64 til jobs, der starter deres egne virtuelle maskiner.

Den bedste test er din egen pipeline: Flyt ét job, og sammenlign tiderne side om side i GitHub.

Pris

To ting sænker regningen på samme tid. Hvert minut er billigere, og et hurtigere build bruger færre af dem.

CRACI afregner $0.002 pr. vCPU-minut, målt pr. sekund, så en standard Linux-runner med 2 vCPU koster $0.004 pr. minut. GitHub angiver sin standard Linux x64-runner med 2 kerner til $0.006 pr. minut, så et minut på CRACI koster cirka 33 % mindre.

Et build på 10 minutter

Tag et build, der kører i 10 minutter på en GitHub-hostet runner med 2 kerner:

Prisforskellen alene sparer cirka 33 %. Det kortere build er det, der bringer det op på cirka 67 %. Bliver et build ikke hurtigere med din arbejdsbelastning, betaler du stadig den lavere pris pr. minut.

Hvad der ellers ændrer regningen

• Afrunding. GitHub runder hvert job op til et helt minut; CRACI måler pr. sekund. Et job, der tager 10 minutter og 20 sekunder, afregnes som 11 minutter på GitHub, og pipelines med mange korte jobs (lint, testshards, tjek) betaler for mange ubrugte sekunder.
• Inkluderede minutter. GitHub inkluderer 2.000 til 50.000 minutter om måneden afhængigt af din plan, og standardrunnere er gratis i offentlige repositories. CRACI har intet gratis niveau og ingen inkluderede minutter: Du betaler pr. build-minut fra første minut, uden månedligt gebyr. Inden for GitHubs kvote er marginalprisen der nul.
• Arkitektur og størrelse. CRACI tager samme pris for ARM64 og x86-64. GitHubs arm64-runner med 2 kerner koster $0.005 pr. minut, så CRACI's $0.004 er 20 % mindre der. Ved 32 vCPU'er koster CRACI $0.064 pr. minut, cirka 22 % mindre end GitHubs $0.082 på x64, men GitHubs arm64-runner med 32 kerner til $0.050 er billigere end CRACI's pr. minut. Hukommelsen er også forskellig: En CRACI-compute unit har 3 GB RAM pr. vCPU, og GitHubs private standardrunner med 2 kerner har 8 GB. Find den konfiguration, dine builds har brug for, før du sammenligner.

Se CRACI's priser for de aktuelle vilkår.

Sikkerhed for forsyningskæden i runneren

Det her er, hvad en CRACI-runner gør, som en runner til generelle formål ikke er designet til.

En registrering af hver afhængighed, buildet hentede

Mens hvert job kører, registrerer en pakkebevidst proxy trafik til pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen følger med CI-caches, så pakker gendannet fra en cache stadig tælles med. Hvert job producerer en SBOM i CycloneDX eller SPDX med en fuldstændighedsstatus pr. job og pr. cache.

GitHubs afhængighedsgraf bygges ud fra manifesterne og lockfilerne i dit repository og kan eksporteres som SPDX. Den beskriver repositoriet, ikke et bestemt build.

Kontrol over, hvad et build kan nå

CRACI's egress-politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. Politikker valideres, før jobbet starter, blokerer ved fejl og sender en alarm ved et brud. Under en default deny-politik bliver en kompromitteret afhængighed, der forsøger at nå en uventet vært, stoppet ved runneren.

GitHubs større runnere tilbyder statiske IP-adresser og privat netværk i Azure, som lader dig styre udgående adgang gennem dit eget Azure-netværk. Det er nyttigt, og det er en anden tilgang: netværksopsætning, du konfigurerer i Azure, i stedet for en politik knyttet til jobbet.

Provenance

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau.

GitHub tilbyder artifact attestations bygget på Sigstore, som ifølge GitHub giver SLSA v1.0 Build Level 2 i sig selv og Level 3 med genbrugelige workflows. Er signeret provenance eller et formelt SLSA-niveau et krav for dig, taler det til GitHubs fordel.

Isolering og dataplacering

CRACI-jobs kører i isolerede virtuelle maskiner. På Enterprise-planen tilbyder CRACI dataopbevaring i EU, med build-udførelse på europæisk bare metal-infrastruktur.

Hvornår du skal blive på GitHub-hostede runnere

• Du har brug for Windows- eller macOS-runnere. CRACI er kun Linux i dag; Windows og macOS er på roadmappen.
• Dine repositories er offentlige, og standardrunnere dækker dig gratis.
• Dit forbrug passer inden for din plans inkluderede minutter.

Mange teams blander begge: Linux-build- og testjobs på CRACI, macOS- og Windows-jobs på GitHub. Fordi skiftet er en runs-on-label, kan du flytte ét job ad gangen.