CRACI vs Namespace

Det korte svar

Namespace er udviklerinfrastruktur: managed GitHub Actions-runnere, eksterne Docker-buildere, cache volumes, Bazel remote execution og cloudbaserede udviklingsmiljøer, alt sammen på hardware, Namespace selv driver. CRACI er en GitHub Actions-kompatibel runner bygget op om forsyningskædesikkerhed. Hvert job producerer en SBOM over det, det faktisk hentede, og kører under en egress-politik.

Begge produkter kan begrænse, hvad et build når på netværket, og Namespaces egress-politikker er veldesignede. Forskellen er, hvad der ellers sker på runneren: Namespace fokuserer på hastighed, platforme og caching, og CRACI registrerer buildet og fører den registrering videre gennem sårbarhedsovervågning og CRA-dokumentation. Begge erstatter den GitHub-hostede runner, så du vælger én.

Overblik

Hvad Namespace gør godt

• Platforme. Linux på AMD64 (AMD EPYC) og ARM64 (AmpereOne, og Apple Silicon i early access), Windows på AMD EPYC og macOS på Apple M5 Max eller M4 Pro. Windows-runnere følger med Team-planen og opefter.
• Runner-profiler. Du opretter en profil i dashboardet med et operativsystem og en maskinform og refererer derefter til den i runs-on. Maskinformer går op til 64 vCPU på Linux, og Namespace siger, at support kan låse op for op til 512 GB RAM.
• Caching. Cache volumes gemmer data på lokalt lager på tværs af kørsler, så jobs ikke uploader og downloader et cache-arkiv hver gang. Namespace tilbyder også Docker build caching, Bazel remote cache og execution samt caches til Turborepo og Gradle.
• Egress-politikker. Politikker kører i BLOCK-tilstand, som afviser alt, der ikke er tilladt, eller ADVISORY-tilstand, som registrerer de samme beslutninger uden at blokere, så du kan bygge en allowlist ud fra rigtig trafik. Regler matcher domæner, et administreret github-actions-regelsæt holder runnere kørende, og med deep packet inspection kan en politik indsætte secrets i request headers eller sende trafik gennem en proxy. Et dashboard grupperer tilladte og afviste forespørgsler efter domæne, og hver instans har sin egen egress-visning.
• Tillid. Namespace har SOC 2 Type II, med rapporten tilgængelig i sit Trust Center, og tilbyder regionseksklusiv dataopbevaring på enterprise-planer.

Namespace offentliggør kunderesultater som DuckDB, der kører sin CI "10x faster". Det er Namespaces tal for de kunder.

Hvor CRACI er anderledes

CRACI behandler buildet som sandhedskilden for det, du leverer.

En registrering af, hvad buildet hentede

Mens hvert job kører, registrerer en pakkebevidst proxy trafik til pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig tælles med. Hvert jobs SBOM, i CycloneDX eller SPDX, har en fuldstændighedsstatus pr. job og pr. cache. Namespaces egress-logs fortæller dig, hvilke domæner en runner kontaktede. CRACI's registrering fortæller dig, hvilke pakker og versioner buildet hentede fra dem.

Egress-politik, sammenlignet fair

CRACI's politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git over HTTPS og SSH samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. Politikker valideres, før jobbet starter, blokerer ved fejl (fail closed), afviser ukendte felter og sender en advarsel ved en overtrædelse.

Namespace er foran to steder. Dets advisory-tilstand lader dig observere en politik, før du håndhæver den, og CRACI's monitor-tilstand er stadig på roadmappen. Dets secret injection og proxyregler har ikke noget modstykke i CRACI. CRACI adskiller sig ved, at dets kilder er typede efter pakkeøkosystem og protokol i stedet for at være angivet som domæner, og at det samme job, der kører under politikken, også producerer registreringen af de pakker, det hentede.

Provenance og overvågning

• Provenance-data. API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau.
• Overvågning af det leverede. Overvågede SBOM'er genvurderes løbende mod nye sårbarheder, og fund samles på tværs af builds og repositories.

Pris og størrelser

Namespace fakturerer i unit minutes, hvor én unit er 1 vCPU og 2 GB RAM i ét minut på Linux. Pr. september 2026 koster en Linux-runner med 2 vCPU og 4 GB $0.002 pr. minut inden for planens minutter og $0.003 pr. minut ved overforbrug. Team-planen koster $100 pr. måned med 100.000 unit minutes, og Business koster $250 pr. måned med 250.000. Windows-minutter koster det dobbelte af Linux-taksten, og macOS-minutter ti gange så meget. Forbrug har et minimum på ét minut pr. job og afrundes derefter pr. minut; Namespaces eksempel fakturerer 150 sekunder som 3 minutter.

CRACI tager $0.002 pr. vCPU-minut, så en runner med 2 vCPU og 6 GB RAM koster $0.004 pr. minut, med ARM64 til samme takst, målt pr. sekund og uden månedligt gebyr. Namespaces listepris pr. minut er lavere, med et minimum på ét minut pr. job. Dets standardformer har 2 GB RAM pr. vCPU og CRACI's har 3 GB, så match den form, dine builds har brug for, før du sammenligner. Se CRACI's priser for aktuelle vilkår.

Hvilken passer

Namespace passer bedst, når

• du har brug for macOS- eller Windows-runnere. CRACI er kun Linux i dag; Windows og macOS er på roadmappen.
• du vil afprøve en egress-politik i advisory-tilstand, før du håndhæver den.
• du er afhængig af Bazel remote execution eller cache volumes.
• du også kører Buildkite-agenter eller cloudbaserede udviklingsmiljøer og vil have én leverandør.

CRACI passer bedst, når

• du skal vise, hvad der gik ind i en release, med en fuldstændighedsstatus, fra selve buildet.
• du vil have overvågning af leverede SBOM'er ét sted.
• du har brug for dokumentation til Cyber Resilience Act.
• du har brug for dataopbevaring i EU, som fås på CRACI's Enterprise-plan.

Til Cyber Resilience Act

Cyber Resilience Act kræver, at producenter kender komponenterne i deres produkter, håndterer sårbarheder i dem og gemmer dokumentation. Namespaces produkt er hurtig CI og udviklingsinfrastruktur. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces: SBOM'er fra buildet eksporteret som CycloneDX eller SPDX, sårbarhedssporing og provenance via API'et. Se CRA-dokumentation.

Skift fra Namespace til CRACI

Installér CRACI GitHub App i din organisation, med adgang til alle repositories eller et udvalg, og ændr så runner-labelen på et job:

runs-on: craci

Flyt ét job ad gangen, tjek dets SBOM og netværkstrace, og læs mere om CI/CD-integration og SBOM-generering under buildet.