CRACI vs. Azure Pipelines

Die kurze Antwort

Azure Pipelines ist der CI/CD-Teil von Azure DevOps. Es baut und testet unter Linux, Windows und macOS, arbeitet mit Azure Repos und GitHub und deployt auf virtuelle Maschinen, Container, On-Premises- und Cloud-Ziele. Wenn Ihre Aufgabenverwaltung, Repositories und Releases in Azure DevOps liegen oder Sie Windows- und macOS-Builds aus einem einzigen Microsoft-Vertrag brauchen, passt es gut.

CRACI deckt einen engeren Bereich ab und geht dort tiefer. Es ist ein Runner für GitHub Actions: Während jeder Job läuft, zeichnet es jede externe Abhängigkeit auf, die der Build lädt, setzt eine Egress-Richtlinie im Build-Netzwerk durch und erzeugt aus dieser Aufzeichnung SBOMs, Provenienzdaten und Schwachstellenüberwachung. In Azure Pipelines stammen diese Nachweise aus den Tasks und Tools, die Sie jeder Pipeline hinzufügen.

Ein praktischer Punkt vorweg. CRACI unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Azure Pipelines wird nicht unterstützt, eine Pipeline wird also in einen GitHub-Actions-Workflow überführt, um auf CRACI zu laufen.

Auf einen Blick

Was Azure Pipelines gut kann

Eine Plattform mit Azure DevOps. Pipelines stehen neben Aufgabenverwaltung, Azure Repos und Azure Artifacts, sodass Work Items, Code, Builds und Pakete an einem Ort liegen. Es baut auch Code, der auf GitHub liegt.

Jedes Betriebssystem. Microsoft-gehostete Agents laufen unter Linux, Windows und macOS, und ein paralleler Job führt jeden davon zum selben Preis aus. Selbst gehostete Agents erweitern das auf Ihre eigenen Maschinen, und Azure DevOps Server bringt die gesamte Plattform On-Premises.

Unbegrenzte Minuten pro Job. Ein bezahlter paralleler Job hat kein monatliches Minutenlimit, wobei jede Ausführung bis zu 360 Minuten dauern darf. Ein Team, das seine Jobs den ganzen Tag auslastet, zahlt einen festen Preis, egal wie lange die Builds dauern.

Integrierte Deployments. Pipelines führen Builds bis zum Deployment auf virtuelle Maschinen, Container, On-Premises-Server und Cloud-Ziele.

Worin sich CRACI unterscheidet

Die SBOM stammt aus dem Build

In Azure Pipelines stammt eine SBOM aus einem Task oder einem Scanner-Schritt, den Sie hinzufügen und der üblicherweise nachträglich Manifeste und Lockfiles liest. Builds tun oft mehr, als diese Dateien sagen: Install-Skripte laden Code herunter, Build-Skripte holen zur Build-Zeit Dateien, und Caches stellen Pakete wieder her, die in keinem Lockfile stehen. CRACI sieht diesen Datenverkehr, weil es der Runner ist. Ein paketbewusster Proxy zeichnet auf, was jeder Job aus Paketquellen lädt, über npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen hinweg, und die Abhängigkeitsnachweise reisen mit CI-Caches mit. Jede SBOM als CycloneDX oder SPDX weist aus, wie vollständig sie ist, pro Job und pro Cache.

Eine Richtlinie für das Build-Netzwerk

Auf Microsoft-gehosteten Agents können Sie nicht festlegen, was ein Build erreichen darf; auf selbst gehosteten Agents ist es Netzwerktechnik, die Sie selbst aufbauen und pflegen. CRACI versieht jeden Job mit einer Egress-Richtlinie: standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen, validiert vor dem Start des Jobs. Richtlinien blockieren im Zweifel (fail closed), und Verstöße lösen eine Warnung aus.

Überwachen, was ausgeliefert wurde

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen, bewertet überwachte SBOMs laufend neu, sobald Sicherheitsmeldungen erscheinen, und zeigt, welche früheren Builds eine verwundbare Abhängigkeit enthielten. So kennen Sie den Zeitraum, in dem Sie betroffen waren.

Zahlen pro Minute, nicht pro parallelem Job

Azure Pipelines verkauft Parallelität: Jeder Build, der gleichzeitig laufen soll, braucht einen eigenen gehosteten Job zu $40 im Monat, in einer einzigen Größe mit 2 Kernen und 7 GB. Ist ein Job an 22 Arbeitstagen jeweils 8 Stunden ausgelastet, kostet er rund $0.0038 pro Minute, etwas weniger als die $0.004 von CRACI für 2 vCPU. Bei halb so viel Auslastung sind es rund $0.0076. Builds kommen in Schüben, die für die Stoßzeit gekauften Jobs stehen also den Rest des Tages still.

CRACI berechnet nur Build-Minuten: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr und ohne Gebühr pro SBOM. Ein Job, der mehr Leistung braucht, kann bis zu 32 vCPU nutzen. Den vollständigen Vergleich finden Sie unter Preise für CI-Runner.

Was passt

• Bleiben Sie bei Azure Pipelines, wenn Ihre Aufgabenverwaltung, Repositories und Releases in Azure DevOps liegen, wenn Sie Windows- oder macOS-Builds brauchen, wenn Sie aus denselben Pipelines deployen oder wenn Ihre Jobs den ganzen Tag ausgelastet sind.
• Wählen Sie CRACI, wenn Ihr Code auf GitHub liegt oder dorthin umzieht und jeder Build eine Aufzeichnung dessen liefern soll, was in das Release eingeflossen ist, abgerechnet pro Build-Minute.
• Nutzen Sie beide während eines schrittweisen Umzugs: Die Entscheidung fällt pro Pipeline, sodass Linux-Builds zu GitHub Actions auf CRACI wechseln können, während Windows-, macOS- und Deployment-Pipelines bleiben.

Seien Sie sich im Klaren darüber, worauf Sie mit CRACI verzichten. Es deployt keine Software, führt heute nur Linux-Jobs aus, mit Windows und macOS auf der Roadmap, und kundengehostete Runner sind für Enterprise auf der Roadmap.

Für regulierte Produkte

Regelwerke wie der EU Cyber Resilience Act erwarten von Herstellern, dass sie wissen, was in jedem Release steckt, und dessen Schwachstellen behandeln, mit Meldepflichten ab September 2026. In Azure Pipelines stammen diese Nachweise aus den Tasks und Scannern, die Sie in jede Pipeline einbinden. CRACI erzeugt sie aus der Build-Aufzeichnung und exportiert SBOMs als CycloneDX oder SPDX. Es automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die ein Unternehmen für seinen umfassenderen CRA-Prozess braucht; keines der beiden Tools macht ein Produkt allein konform.

Eine Pipeline zu CRACI umziehen

Der GitHub Actions Importer von GitHub selbst wandelt Azure-DevOps-Pipelines in GitHub-Actions-Workflows um. GitHub strebt an, dass 80 % jedes Workflows automatisch umgewandelt werden, und empfiehlt, jeden umgewandelten Workflow vor dem Einsatz in der Produktion zu prüfen. Planen Sie also etwas Handarbeit ein. Sobald eine Pipeline als GitHub-Actions-Workflow läuft, läuft sie mit einer Zeile auf CRACI:

runs-on: craci

Die Ausführungen erscheinen weiterhin in der GitHub-Oberfläche. Erfahren Sie mehr über SBOM-Generierung während des Builds, sehen Sie sich Alternativen zu Azure Pipelines an, vergleichen Sie CI/CD-Plattformen oder prüfen Sie die Preise.