CRACI vs RunsOn

Det korte svar

RunsOn er selvhostede GitHub Actions-runnere uden vedligeholdelsen af en runner-flåde. Én CloudFormation-stak eller ét Terraform-modul udruller det i din AWS-konto; hvert job får derefter en ny EC2-instans af en hvilken som helst type, du vælger, og AWS fakturerer compute til kostpris. Vil du have runnere inde i din egen cloud-konto og den lavest mulige compute-regning, især på spot-instanser, er RunsOn svært at slå.

CRACI er CI med indbygget forsyningskædesikkerhed. Det er en managed, GitHub Actions-kompatibel runner, og sikkerheden er en del af runneren i stedet for et værktøj tilføjet til den: CRACI registrerer hver ekstern afhængighed, buildet hentede, håndhæver en egress-politik på build-netværket og omsætter den registrering til SBOM'er, sårbarhedsovervågning og dokumentation. Begge produkter erstatter den runner, dine jobs kører på, så du vælger ét af dem.

Overblik

Hvad RunsOn gør godt

Din konto, dine data. Kontrolplanet, runner-VM'erne, S3-cachen og logs ligger alle i din AWS-konto, og RunsOns egne datastrømme er begrænset til licensvalidering, telemetri og support. For teams, hvis sikkerhedsgennemgang stopper ved "en tredjepart kører vores kode og secrets", er det det svar, RunsOn er bygget til at give. CRACI-runnere er managed i dag; kundehostede runnere er på roadmappen til Enterprise.

Enhver instans, én pr. job. runs-on-labelen vælger maskinen, så et job kan bede om en stor compute-optimeret instans, en GPU, lokalt NVMe-lager eller Windows. Hvert job får en ny EC2-instans, der destrueres, når det er færdigt, og RunsOn siger, at jobs typisk starter på omkring 30 sekunder eller under 6 med warm pools.

Omkostninger. RunsOn lægger intet oven på AWS' compute og opkræver en fast licens fra omkring $348 (€300) om året. Det siger, at resultatet er 7 til 12 gange billigere end GitHub-hostede runnere. Spot-instanser med automatisk fallback til on-demand holder regningen endnu lavere. Det er RunsOns tal; dit mix af instanser og din region afgør det reelle tal.

Caching og observability. En S3-baseret cache i din VPC erstatter GitHubs cache uden dens størrelsesloft, Docker layer caching er indbygget, og EBS sticky disks og delte EFS-volumes bevarer tilstand på tværs af jobs. Metrikker og omkostningsrapportering pr. job går til CloudWatch og OpenTelemetry.

Sikkerhedstilføjelser. En integration med StepSecurity Harden-Runner tilføjer overvågning og filtrering af egress samt detektion af manipulation af kildekode under buildet, med en StepSecurity enterprise-licens.

Pris og størrelser

Alene på compute koster RunsOn på spot-instanser en brøkdel af CRACI's $0.004 pr. minut for 2 vCPU. Sammenligningen handler dog ikke kun om prisen pr. minut. Med RunsOn betaler du også licensen og AWS-tjenesterne omkring runnerne, såsom NAT-gateways til statiske IP'er, og dit team ejer stakken: opgraderinger, AWS-kvoter og hændelser. CRACI er én minutpris, målt pr. sekund, uden månedligt gebyr, og CRACI driver infrastrukturen. Se CRACI's priser for aktuelle vilkår og managed vs selvhostede runnere for den bredere afvejning.

Hvad angår hastighed, kører CRACI builds omkring dobbelt så hurtigt som GitHub-hostede runnere takket være hurtigere hardware, kortere køtider og caching. RunsOns hastighed afhænger af den instanstype, du vælger. Vi har ikke benchmarket de to mod hinanden.

Hvor CRACI er anderledes

En registrering af, hvad buildet hentede

Mens hvert job kører, registrerer en pakkebevidst proxy trafik til pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så pakker gendannet fra en cache stadig tælles med. Det omfatter de skjulte afhængigheder, som ingen lockfile angiver, såsom kode downloadet af install-hooks eller build-scripts, og lag fra base-images. Hvert job producerer en SBOM i CycloneDX eller SPDX med en fuldstændighedsstatus pr. job og pr. cache.

Kontrol over, hvad buildet kan nå

Security groups afgør, hvilke netværk en RunsOn-runner kan nå; de ved ikke, hvilket pakke-registry et job skal bruge. Det gør CRACI's egress-politik: default deny eller default allow, 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git over HTTPS og SSH samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. Politikker valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en advarsel ved en overtrædelse. Fordi politikken kun tillader det, buildet har brug for, blokerer den eksfiltrering til hosts, buildet ikke har brug for, selv ved et angreb, ingen har set før.

Harden-Runner på RunsOn går længere ét sted: Det holder også øje med, om kildefiler ændres under buildet, hvilket CRACI ikke gør.

Provenance og overvågning

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau. Det samler sårbarheder på tværs af builds og repositories og bliver ved med at genvurdere overvågede SBOM'er.

To forskellige sikkerhedsspørgsmål

RunsOn svarer på "hvem har min kode, mine secrets og min runner-tilstand?" ved at holde det hele i din AWS-konto. CRACI svarer på et andet spørgsmål: "hvad trak dette build ind, og hvad forbandt det sig til?" CRACI kører hvert job i sin egen isolerede VM, gemmer ikke din kildekode og er ISO 27001-certificeret. Det andet svar er det, en auditor, en kunde eller Cyber Resilience Act beder dig om.

Book en demo for at se SBOM'en, netværkstracen og provenance fra et af dine egne workflows.

Hvilken passer

RunsOn passer bedst, når

• runnere skal køre inde i din egen AWS-konto, ved siden af dine VPC-ressourcer.
• de laveste compute-omkostninger betyder mest, og du er tryg ved at drive en stak i AWS.
• du har brug for Windows-runnere, GPU-instanser eller bestemte EC2-instanstyper i dag.
• dine projekter er ikke-kommercielle, hvilket RunsOn dækker gratis.

CRACI passer bedst, når

• du leverer software, hvor du skal vise, hvad der gik ind i hver release, fra selve buildet.
• du vil begrænse, hvad builds kan nå, med en politik, der blokerer ved fejl (fail closed) og ikke kræver en ekstra licens.
• du har brug for overvågning af det leverede uden at tilføje værktøjer til hvert workflow.
• du helst ikke vil drive CI-infrastruktur og vil have builds på europæisk infrastruktur.

Det, du opgiver med CRACI. Runnere i din egen AWS-konto, som er på roadmappen til Enterprise, Windows-runnere, som også er på roadmappen, og den laveste compute-regning. Det, du får, er en build-registrering, som sikkerhed og compliance kan bruge uden endnu en scanner i pipelinen, på infrastruktur, du ikke selv skal drive.

Til Cyber Resilience Act

EU's Cyber Resilience Act forventer, at producenter ved, hvad der er i hver release, og håndterer dens sårbarheder, med rapporteringsforpligtelser fra september 2026 og fuld anvendelse fra december 2027. En selvhostet runner producerer ikke den dokumentation af sig selv; du skal tilføje SBOM- og scanningsværktøjer til dine workflows. CRACI producerer den ud fra build-registreringen og eksporterer SBOM'er som CycloneDX eller SPDX. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces.

Skift fra RunsOn

CRACI erstatter runneren, ikke GitHub Actions. Workflows og GitHubs brugerflade forbliver de samme, og job-labelen bliver runs-on: craci. Jobs får Docker Engine, Buildx og Compose v2, et GitHub-kompatibelt Ubuntu 24.04-image og nested virtualization på x86-64. Læs mere om CI/CD-integration og SBOM-generering under buildet. Startups kan ansøge om startupprogrammet.

RunsOn vs CRACI: almindelige spørgsmål

Priser, hosting, platforme og sikkerhed, besvaret ud fra hver leverandørs offentlige oplysninger

Hvad er RunsOn?

RunsOn er selvhostede GitHub Actions-runnere i form af et produkt. Du udruller én CloudFormation-stak eller ét Terraform-modul i din egen AWS-konto, og RunsOn starter en ny EC2-instans til hvert job og afslutter den, når jobbet er færdigt. Runnere, caches, logs og legitimationsoplysninger bliver i din AWS-konto. Det blev grundlagt i 2023 af Cyril Rohr, der har base i Rennes i Frankrig.

Hvad koster RunsOn?

Pr. september 2026 opkræver RunsOn en fast årlig licens pr. juridisk enhed: fra omkring $348 (€300) om året på Starter, omkring $1,044 (€900) på Growth, omkring $2,088 (€1,800) på Scale og omkring $4,176 (€3,600) på Enterprise, afhængigt af hvor mange runnere du starter om måneden. AWS fakturerer compute direkte, pr. sekund, uden tillæg fra RunsOn. RunsOn angiver en spot-instans med 2 vCPU x64 i us-east-1 til omkring $0.0009 pr. minut. Det er gratis til ikke-kommerciel brug og har en prøveperiode på 15 dage.

Er RunsOn billigere end CRACI?

Når det gælder compute, ja, og med stor margin på spot-instanser. CRACI tager $0.004 pr. minut for 2 vCPU, mens en spot-instans med 2 vCPU via RunsOn koster omkring $0.0009 pr. minut i us-east-1 plus licensen. Det samlede beløb omfatter også dit AWS-netværk og -lager og tiden til at drive stakken. Det, CRACI tilføjer på runneren, er build-registreringen: en SBOM for hvert job, en egress-politik, provenance-data og sårbarhedsovervågning.

Genererer RunsOn SBOM'er eller build-provenance?

Ikke blandt dets dokumenterede funktioner. RunsOn fokuserer på compute, caching, omkostninger og observability i din AWS-konto. CRACI registrerer de pakker, hvert job henter, inklusive pakker gendannet fra caches, og producerer en SBOM i CycloneDX eller SPDX med en fuldstændighedsstatus. API'et returnerer SBOM'er, netværkstraces og provenance.

Kan RunsOn begrænse, hvad et build kan nå på netværket?

RunsOn-runnere ligger i din VPC, så AWS security groups og routing gælder, og statiske egress-IP'er kommer fra NAT-gateways. Til egress-filtrering inde i jobbet integrerer RunsOn StepSecurity Harden-Runner, som bygger en baseline af hvert jobs udgående trafik og kan håndhæve den som en tilladelsesliste; på RunsOn kræver det en StepSecurity enterprise-licens. CRACI håndhæver en egress-politik på selve runneren: default deny eller allow, 24 indbyggede presets for softwarekilder, valideret, før jobbet starter, og blokerer ved fejl (fail closed).

Kan jeg køre CRACI i min egen AWS-konto?

Ikke i dag. CRACI-runnere er managed, på europæisk infrastruktur, og kundehostede runnere er på roadmappen til Enterprise-planen. Er runnere inde i din egen AWS-konto et ufravigeligt krav, er RunsOn bygget præcis til det.

Understøtter CRACI Windows- eller macOS-runnere?

CRACI kører Linux på x86-64 og ARM64 i dag, med Windows og macOS på roadmappen. RunsOn tilbyder Windows Server 2022 og 2025 og GPU-instanser; macOS-jobs bliver også på GitHub-hostede runnere med RunsOn.

Skal jeg omskrive mine GitHub Actions-workflows for at skifte?

Nej. Begge produkter erstatter runneren, ikke GitHub Actions. Workflows, triggers og GitHubs brugerflade forbliver de samme; på CRACI bliver job-labelen runs-on: craci.