CRACI og JFrog Artifactory

To vinkler på den samme forsyningskæde

Mange udviklingsorganisationer sender pakketrafik gennem JFrog Artifactory. Et remote repository fungerer som en cachende proxy for et offentligt registry som npm eller PyPI, henter pakker efter behov og gemmer en kopi. Virtual repositories samler flere kilder bag én URL. Dine egne build-output ligger i local repositories. Det giver dig ét sted at se og styre, hvad der kommer ind i virksomheden.

CRACI sidder et andet sted. Det er den CI-runner, dine GitHub Actions-jobs kører på, og mens hvert job kører, registrerer det de eksterne afhængigheder, jobbet trækker ind. Artifactory svarer på "hvad er strømmet gennem vores repositories?" CRACI svarer på "hvad brugte netop dette build, og hvilket artefakt kom ud af det?"

Hvad Artifactory gør godt

Artifactory er en moden repository manager. Den giver teams pålidelig, cachet adgang til upstream-pakker, et hjem til interne artefakter og ét kontrolpunkt for mange pakketyper. Omkring den tilføjer JFrog Platform mere:

• Build-info. Med JFrog CLI tilføjer du et build-navn og -nummer til dine kommandoer og udgiver en JSON-registrering af de resolvede afhængigheder, producerede artefakter, miljøvariabler og Git-detaljer. Den registrering understøtter sporbarhed, build promotion og Xray-scanning.
• Xray. Scanner artefakter og builds for sårbarheder og eksporterer SBOM'er i SPDX og CycloneDX. JFrogs licensmatrix angiver Xray som inkluderet i abonnementerne Pro X, Enterprise X og Enterprise+ (pr. september 2026).
• Curation. Blokerer ondsindede eller sårbare pakker ved remote repositoriet, før de når udviklerne, inklusive pakker, der allerede ligger i remote-cachen.

Blokering på pakkeniveau ved registryet er en reel styrke. CRACI blokerer ikke individuelle pakker i dag; blokeringslister for pakker i hele organisationen er på CRACI's roadmap.

Hvad CRACI tilføjer

Synlighed, der ikke afhænger af routing

Artifactory ser det, der sendes gennem det. Builds samarbejder ikke altid. Et job kan downloade en toolchain fra en GitHub release, installere OS-pakker, hente et base-image fra et offentligt registry eller køre et script, der henter en binærfil. JFrogs egen dokumentation bemærker, at afhængigheder hentet af andre værktøjer kan registreres manuelt med build-add-dependencies, hvilket betyder, at nogen skal vide, at de findes.

CRACI registrerer på runneren. En pakkebevidst proxy observerer trafik til pakkekilder under jobbet og dækker npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Går dine npm- eller PyPI-installationer gennem et Artifactory-spejl, fungerer det: CRACI registrerer også de pakker.

Dokumentation pr. build uden ekstra trin

Build-info er værdifuldt, men det er noget, du tilføjer til hver pipeline. På CRACI findes registreringen for hvert job, fordi runneren producerer den. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig tælles med. Hver SBOM har en fuldstændighedsstatus pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Når en registrering har et hul, siger den det.

Hold builds på den godkendte vej

Fordi CRACI kører jobbet, kan du sætte dets egress-politik for netværket. Politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder (npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git) og eksplicitte TLS-, TCP-, UDP- og ICMP-regler. De valideres, før jobbet starter, og blokerer ved fejl (fail closed). En politik, der tillader din Artifactory-vært og afviser direkte adgang til offentlige registries, hjælper med at sikre, at builds faktisk bruger den styrede vej. CRACI advarer dig, når et job overtræder sin politik.

Build-dokumentation ved siden af Artifactory

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. Gem artefaktet i Artifactory, som du gør i dag; registreringen af, hvad buildet hentede, kommer fra CRACI.

For teams, der står over for EU's Cyber Resilience Act, danner den registrering grundlag for dokumentationen på release-niveau. CRACI samler sårbarheder på tværs af builds og repositories, genvurderer løbende overvågede SBOM'er og eksporterer dem som CycloneDX eller SPDX. Se CRA-dokumentation og CRA-compliance.

Et inventar over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Sådan passer de sammen

1. Behold Artifactory som din pakkeproxy, dit artefaktlager og dit distributionspunkt for releases.
2. Flyt GitHub Actions-jobs til CRACI ved at ændre runs-on til craci. Workflows forbliver de samme, og kørsler vises stadig i GitHubs brugerflade.
3. Peg npm- og PyPI-installationer mod dine Artifactory-spejle, som du gør i dag.
4. Brug en CRACI-egress-politik til at holde builds på godkendte kilder, inklusive Artifactory.
5. Brug CRACI's SBOM, provenance og netværkstrace pr. build som dokumentation for hver release.

Er du afhængig af JFrog build-info eller Curation i dag, så behold dem. CRACI understøtter kun GitHub Actions i dag (GitLab CI og Jenkins er på roadmappen), så pipelines på andre CI-systemer bliver, hvor de er.

Er du ved at erstatte selve Artifactory, så se alternativer til JFrog Artifactory.

Almindelige spørgsmål

Erstatter CRACI Artifactory?

Nej. CRACI er ikke en repository manager. Det gemmer ikke dine pakker eller release-binærfiler, og det distribuerer dem ikke. Det kører dine builds og registrerer dokumentation om dem.

Overlapper CRACI med Xray?

Delvist. Begge eksporterer SBOM'er i CycloneDX og SPDX, og begge hjælper dig med at spore sårbarheder. Forskellen er inputtet. Xray scanner de artefakter og builds, JFrog kender til. CRACI's SBOM og sårbarhedsoversigt kommer fra det, hvert build hentede, mens det kørte, på tværs af builds og repositories. Er Xray indlejret i din release-proces, så behold det, og brug CRACI's registrering pr. build som en ekstra, uafhængig kilde.

Hvilke Artifactory-repositorytyper virker med CRACI?

Artifactory-spejle til npm og PyPI er bekræftet at virke med CRACI-builds. For andre pakketyper, så tal med os om din opsætning, før du flytter de pipelines.