CRACI-Runner vs. GitHub-gehostete Runner

Gleiche Workflows, schnellerer Runner

Wenn Sie GitHub Actions nutzen, laufen Ihre Jobs auf GitHub-gehosteten Runnern, sofern Sie keine eigenen eingerichtet haben. Sie sind bequem: Jeder Job erhält eine frische virtuelle Maschine, es gibt nichts zu betreiben, und Linux, Windows und macOS sind alle verfügbar.

CRACI ist ein mit GitHub Actions kompatibler Runner. Installieren Sie die CRACI GitHub App in Ihrer Organisation, für alle Repositories oder eine Auswahl, und ändern Sie eine Zeile in Ihrem Workflow:

runs-on: craci

Ihre Workflow-Dateien, Actions und die GitHub-Oberfläche bleiben gleich. CRACI ersetzt den Runner, nicht GitHub Actions, und bietet Ihnen drei Dinge, die ein Allzweck-Runner nicht bietet: schnellere Builds, eine niedrigere Rechnung und Lieferkettensicherheit, die in die Maschine eingebaut ist, die den Job ausführt.

Geschwindigkeit

Builds auf CRACI sind in etwa der Hälfte der Zeit fertig, die sie auf GitHubs gehosteten Standard-Runnern brauchen. Drei Dinge summieren sich: schnellere Hardware, kürzere Wartezeiten vor dem Jobstart und Caching.

Wie viel schneller Ihre eigenen Builds werden, hängt von der Workload ab. CPU-lastige Kompilierungen und Testsuiten profitieren am meisten; Jobs, die die meiste Zeit auf das Netzwerk oder externe Dienste warten, profitieren weniger. Was dabei hilft:

• Runner-Größen von 1 bis 32 Compute-Einheiten, damit aufwendige Jobs mehr anfordern können.
• Natives x86-64 und ARM64, damit ARM-Builds keine Emulation brauchen.
• Unterstützung für den GitHub-Actions-Cache sowie Docker Engine, Buildx und Compose v2 in jedem Job.
• Verschachtelte Virtualisierung auf x86-64 für Jobs, die eigene virtuelle Maschinen starten.

Der beste Test ist Ihre eigene Pipeline: Ziehen Sie einen Job um und vergleichen Sie die Zeiten direkt in GitHub.

Kosten

Zwei Dinge senken die Rechnung gleichzeitig. Jede Minute ist günstiger, und ein schnellerer Build braucht weniger davon.

CRACI berechnet $0.002 pro vCPU-Minute, sekundengenau abgerechnet, ein Standard-Linux-Runner mit 2 vCPU kostet also $0.004 pro Minute. GitHub listet seinen Standard-Runner für Linux x64 mit 2 Kernen mit $0.006 pro Minute, die Minute bei CRACI kostet also etwa 33 % weniger.

Ein 10-Minuten-Build

Nehmen wir einen Build, der auf einem GitHub-gehosteten Runner mit 2 Kernen 10 Minuten läuft:

Allein der Preisunterschied spart etwa 33 %. Erst der kürzere Build bringt es auf etwa 67 %. Wird ein Build bei Ihrer Workload nicht schneller, zahlen Sie trotzdem den niedrigeren Minutenpreis.

Was die Rechnung sonst noch verändert

• Rundung. GitHub rundet jeden Job auf eine ganze Minute auf; CRACI rechnet sekundengenau ab. Ein Job von 10 Minuten und 20 Sekunden wird bei GitHub als 11 Minuten abgerechnet, und Pipelines mit vielen kurzen Jobs (Lint, Test-Shards, Checks) zahlen für viele ungenutzte Sekunden.
• Inklusivminuten. Bei GitHub sind je nach Plan 2.000 bis 50.000 Minuten pro Monat enthalten, und in öffentlichen Repositories sind Standard-Runner kostenlos. CRACI hat keinen kostenlosen Plan und keine Inklusivminuten: Sie zahlen ab der ersten Minute pro Build-Minute, ohne Monatsgebühr. Innerhalb des GitHub-Kontingents sind die Grenzkosten dort null.
• Architektur und Größe. CRACI berechnet für ARM64 und x86-64 denselben Preis. GitHubs arm64-Runner mit 2 Kernen kostet $0.005 pro Minute, CRACIs $0.004 sind dort also 20 % weniger. Bei 32 vCPU kostet CRACI $0.064 pro Minute, etwa 22 % weniger als GitHubs $0.082 auf x64, doch GitHubs arm64-Runner mit 32 Kernen ist mit $0.050 pro Minute günstiger als CRACI. Auch der Arbeitsspeicher unterscheidet sich: Eine CRACI-Compute-Einheit hat 3 GB RAM pro vCPU, GitHubs privater Standard-Runner mit 2 Kernen hat 8 GB. Wählen Sie die Größe, die Ihre Builds brauchen, bevor Sie vergleichen.

Aktuelle Konditionen finden Sie unter CRACI-Preise.

Lieferkettensicherheit im Runner

Das leistet ein CRACI-Runner, wofür ein Allzweck-Runner nicht ausgelegt ist.

Eine Aufzeichnung jeder Abhängigkeit, die der Build geladen hat

Während jeder Job läuft, zeichnet ein paketbewusster Proxy den Datenverkehr zu Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen sowie Download-Presets. Die Nachweise reisen mit CI-Caches, sodass aus einem Cache wiederhergestellte Pakete trotzdem erfasst werden. Jeder Job erzeugt eine SBOM in CycloneDX oder SPDX mit einem Vollständigkeitsstatus pro Job und pro Cache.

GitHubs Abhängigkeitsgraph wird aus den Manifesten und Lockfiles in Ihrem Repository erstellt und lässt sich als SPDX exportieren. Er beschreibt das Repository, nicht einen bestimmten Build.

Kontrolle darüber, was ein Build erreichen kann

CRACI-Egress-Richtlinien arbeiten mit Default Deny oder Default Allow, mit 24 integrierten Presets für Softwarequellen, typisierten benutzerdefinierten Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git sowie expliziten TLS-, TCP-, UDP- und ICMP-Regeln. Richtlinien werden vor dem Jobstart validiert, sind fail closed und senden bei Verstößen eine Warnung. Unter einer Default-Deny-Richtlinie wird eine kompromittierte Abhängigkeit, die einen unerwarteten Host erreichen will, am Runner gestoppt.

GitHubs größere Runner bieten statische IP-Adressen und Azure Private Networking, mit denen Sie ausgehenden Zugriff über Ihr eigenes Azure-Netzwerk verwalten. Das ist nützlich und ein anderer Ansatz: Netzwerkinfrastruktur, die Sie in Azure konfigurieren, statt einer an den Job gebundenen Richtlinie.

Provenienz

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert keine Provenienz und beansprucht kein SLSA-Level.

GitHub bietet auf Sigstore basierende Artifact Attestations, die laut GitHub für sich genommen SLSA v1.0 Build Level 2 und mit wiederverwendbaren Workflows Level 3 bieten. Wenn signierte Provenienz oder ein formales SLSA-Level für Sie eine Anforderung ist, spricht das für GitHub.

Isolation und Datenstandort

CRACI-Jobs laufen in isolierten virtuellen Maschinen. Im Enterprise-Plan bietet CRACI Datenresidenz in der EU, wobei Builds auf europäischer Bare-Metal-Infrastruktur ausgeführt werden.

Wann Sie bei GitHub-gehosteten Runnern bleiben sollten

• Sie brauchen Windows- oder macOS-Runner. CRACI läuft heute nur auf Linux; Windows und macOS sind auf der Roadmap.
• Ihre Repositories sind öffentlich, und Standard-Runner decken Ihren Bedarf kostenlos.
• Ihre Nutzung passt in die Inklusivminuten Ihres Plans.

Viele Teams nutzen beides: Linux-Build- und Testjobs auf CRACI, macOS- und Windows-Jobs auf GitHub. Da der Wechsel nur ein runs-on-Label ist, können Sie Job für Job umziehen.