CRACI vs Jenkins

Det korte svar

Jenkins kalder sig selv "the leading open source automation server", og med god grund: Det kører overalt, hvor du installerer det, fordeler arbejde på så mange maskiner, du giver det, og mere end 2.300 plugins fra fællesskabet forbinder det med næsten ethvert værktøj. Skal builds blive helt inden for dit eget netværk, eller er dine pipelines afhængige af plugins uden tilsvarende alternativer andre steder, er Jenkins svært at erstatte.

CRACI er en anden slags produkt. Det er en managed runner til GitHub Actions: Der er ingen controller at opgradere og ingen agent at patche. Mens hvert job kører, registrerer CRACI hver ekstern afhængighed, buildet trækker ind, håndhæver en egress-politik på buildets netværk og producerer SBOM'er, provenance-data og sårbarhedsovervågning ud fra den registrering. Jenkins kan klare dele af det gennem plugins, du vælger, konfigurerer og holder opdaterede; CRACI gør runneren selv til sikkerhedsregistreringen.

Én praktisk ting kommer først. CRACI understøtter GitHub Actions i dag, med Jenkins og GitLab CI på roadmappen og uden dato. For at køre på CRACI nu skal en Jenkins-pipeline først flyttes til et GitHub Actions-workflow.

Overblik

Hvad Jenkins gør godt

Kører, hvor du har brug for det. Jenkins kører på dine egne servere, i dit eget netværk, uden noget SaaS-kontrolplan involveret. Agenter kan være Linux, Windows, macOS eller enhver anden maskine, du kan forbinde, så én controller kan bygge en backend, en desktopklient og firmware.

Plugins til næsten alt. Plugin-økosystemet er Jenkins' største styrke. Versionsstyring, build-værktøjer, testrapporter, udrulningsmål og sikkerhedsscannere har alle plugins, og teams med usædvanlige toolchains oplever ofte, at Jenkins er den eneste CI, der allerede understøtter dem.

Ingen licensomkostning. Jenkins er gratis og open source. Dine omkostninger er de maskiner, det kører på, og den tid, dit team bruger på at drive det.

Hvor CRACI er anderledes

Intet at drive

En Jenkins-installation er et system, dit team ejer: controlleren, agenterne, plugins og opgraderingerne. Jenkins-projektet udsender ofte sikkerhedsadvisories for kernen og plugins, flere om måneden i 2026 (for eksempel 2. og 16. september og 5. august), og det er dit job at anvende hver af dem. CRACI kører jobs på managed runnere, i isolerede virtuelle maskiner med én VM pr. job, så der er ingen build-server, du skal patche.

SBOM'en kommer fra buildet

På Jenkins kommer en SBOM fra et plugin eller et scanner-trin, du tilføjer, og som typisk læser manifester og lockfiles bagefter. Builds gør ofte mere, end de filer siger: Install-scripts downloader kode, build-scripts henter under buildet, og caches gendanner pakker, som ingen lockfile nævner. CRACI ser den trafik, fordi det er runneren. En pakkebevidst proxy registrerer, hvad hvert job henter fra pakkekilder, på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, og dokumentationen for afhængighederne følger med CI-caches. Hver CycloneDX- eller SPDX-SBOM angiver, hvor komplet den er, pr. job og pr. cache.

En politik på buildets netværk

På Jenkins betyder kontrol over, hvad et build må nå, firewallregler eller proxyer omkring dine agenter, som du selv designer og vedligeholder. På CRACI afgør en egress-politik på hvert job, hvilke værter det må nå: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder, valideret før jobbet starter. Politikker blokerer ved fejl (fail closed), og overtrædelser sender en advarsel.

Overvågning af det leverede

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI samler sårbarheder på tværs af builds og repositories, genvurderer løbende overvågede SBOM'er, efterhånden som advisories dukker op, og viser, hvilke tidligere builds der indeholdt en sårbar afhængighed, så du ved, i hvilken periode du var berørt.

Priser pr. build-minut

Jenkins har intet licensgebyr, men det er ikke gratis at drive: Du betaler for controller og agenter, uanset om de står stille eller arbejder, og for de folk, der holder dem opdaterede. CRACI tager kun betaling for build-minutter: $0.002 pr. vCPU-minut ($0.004 for en standardrunner med 2 vCPU), målt pr. sekund, uden månedligt gebyr og uden betaling pr. SBOM.

Hvilken passer bedst

• Bliv på Jenkins, hvis builds skal køre helt på din egen infrastruktur, hvis du er afhængig af plugins uden et tilsvarende alternativ i GitHub Actions, hvis du har brug for Windows- eller macOS-builds, eller hvis du har folkene til at drive det, og det virker.
• Vælg CRACI, hvis din kode ligger på GitHub, du er i gang med eller klar til at flytte pipelines til GitHub Actions, og du vil holde op med at drive build-servere og samtidig få en registrering af, hvad der gik ind i hver release.
• Brug begge under en gradvis flytning: Flyt nye projekter og Linux-pipelines til GitHub Actions på CRACI, og lad stabile Jenkins-jobs blive, hvor de er.

Vær klar over, hvad du giver afkald på ved at vælge CRACI i dag. Det kører kun Linux-jobs, med Windows og macOS på roadmappen; kundehostede runnere er på roadmappen for Enterprise; og Jenkins-pipelines skal laves om til GitHub Actions-workflows, indtil understøttelse af Jenkins kommer.

Til regulerede produkter

Rammeværker som EU's Cyber Resilience Act forventer, at producenter ved, hvad der er i hver release, og håndterer dens sårbarheder, med rapporteringsforpligtelser fra september 2026. På Jenkins kommer den dokumentation fra de plugins og scannere, du kobler ind i hver pipeline. CRACI producerer den ud fra build-registreringen og eksporterer SBOM'er som CycloneDX eller SPDX. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som en virksomhed har brug for i sin bredere CRA-proces; ingen af værktøjerne gør et produkt compliant alene.

Flyt en pipeline til CRACI

GitHubs eget GitHub Actions Importer konverterer Jenkins-pipelines til GitHub Actions-workflows. GitHub sigter mod, at 80 % af hvert workflow konverteres automatisk, og siger, at hvert konverteret workflow bør gennemgås, før det kører i produktion, så regn med noget manuelt arbejde. Når en pipeline kører som et GitHub Actions-workflow, kører den på CRACI med én linje:

runs-on: craci

Kørsler vises stadig i GitHubs brugerflade. Læs mere om SBOM-generering under buildet, se alternativer til Jenkins, sammenlign CI/CD-platforme, eller se priser.