CRACI frente a Azure Pipelines

La respuesta corta

Azure Pipelines es la parte de CI/CD de Azure DevOps. Compila y prueba en Linux, Windows y macOS, funciona con Azure Repos y GitHub, y despliega en máquinas virtuales, contenedores y destinos on-premises y en la nube. Si su seguimiento del trabajo, sus repositorios y sus versiones residen en Azure DevOps, o necesita builds de Windows y macOS con un único contrato de Microsoft, encaja bien.

CRACI cubre una parte más acotada y profundiza más en ella. Es un runner para GitHub Actions: mientras se ejecuta cada job, registra cada dependencia externa que descarga el build, aplica una política de egress a la red del build y genera SBOM, datos de procedencia y monitorización de vulnerabilidades a partir de ese registro. En Azure Pipelines, esa evidencia procede de las tareas y herramientas que usted añade a cada pipeline.

Antes de nada, una cuestión práctica. CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Azure Pipelines no es compatible, así que un pipeline debe pasar a un workflow de GitHub Actions para ejecutarse en CRACI.

De un vistazo

Lo que Azure Pipelines hace bien

Una sola plataforma con Azure DevOps. Los pipelines conviven con el seguimiento del trabajo, Azure Repos y Azure Artifacts, de modo que los elementos de trabajo, el código, los builds y los paquetes están en un mismo lugar. También compila código alojado en GitHub.

Todos los sistemas operativos. Los agentes alojados por Microsoft ejecutan Linux, Windows y macOS, y un job paralelo ejecuta cualquiera de ellos al mismo precio. Los agentes autoalojados lo extienden a sus propias máquinas, y Azure DevOps Server lleva toda la plataforma on-premises.

Minutos ilimitados por job. Un job paralelo de pago no tiene límite mensual de minutos, y cada ejecución puede durar hasta 360 minutos. Un equipo que mantiene sus jobs ocupados todo el día paga un precio fijo, duren lo que duren los builds.

Despliegues integrados. Los pipelines llevan los builds hasta el despliegue en máquinas virtuales, contenedores, servidores on-premises y destinos en la nube.

En qué se diferencia CRACI

La SBOM procede del build

En Azure Pipelines, una SBOM procede de una tarea o un paso de escaneo que usted añade, que normalmente lee manifiestos y lockfiles a posteriori. Los builds suelen hacer más de lo que dicen esos archivos: los scripts de instalación descargan código, los scripts de build descargan durante el build y las cachés restauran paquetes que ningún lockfile menciona. CRACI ve ese tráfico porque es el runner. Un proxy que entiende de paquetes registra lo que cada job descarga de las fuentes de paquetes, en fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, y la evidencia de dependencias viaja con las cachés de CI. Cada SBOM en CycloneDX o SPDX indica su grado de completitud, por job y por caché.

Una política sobre la red del build

En los agentes alojados por Microsoft, usted no decide a qué puede acceder un build; en los agentes autoalojados, es infraestructura de red que usted construye y mantiene. CRACI aplica una política de egress a cada job: denegación o permiso por defecto, con 24 presets de fuentes de software integrados y fuentes personalizadas tipadas, validada antes de que empiece el job. Las políticas bloquean si fallan (fail closed), y las infracciones envían una alerta.

Monitorizar lo que se publicó

La API devuelve SBOM, trazas de red y datos de procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios, sigue reevaluando las SBOM monitorizadas a medida que aparecen avisos de seguridad y muestra qué builds anteriores contenían una dependencia vulnerable, para que sepa durante qué periodo estuvo afectado.

Pagar por minuto, no por job paralelo

Azure Pipelines vende concurrencia: cada build que quiera ejecutar al mismo tiempo necesita su propio job alojado de $40 al mes, en un único tamaño de 2 núcleos y 7 GB. Con 8 horas de actividad en cada uno de 22 días laborables, un job sale a unos $0.0038 por minuto, algo por debajo de los $0.004 de CRACI para 2 vCPU. Con la mitad de actividad, sale a unos $0.0076. Los builds llegan a ráfagas, así que los jobs comprados para la hora de más carga permanecen inactivos el resto del día.

CRACI solo cobra por los minutos de build: $0.002 por vCPU-minuto ($0.004 para un runner predeterminado de 2 vCPU), medido por segundo, sin cuota mensual ni cargo por SBOM. Un job que necesite más potencia puede usar hasta 32 vCPU. Consulte los precios de runners de CI para ver la comparativa completa.

Cuál encaja mejor

• Quédese con Azure Pipelines si su seguimiento del trabajo, sus repositorios y sus versiones residen en Azure DevOps, si necesita builds de Windows o macOS, si despliega desde los mismos pipelines o si sus jobs están ocupados todo el día.
• Elija CRACI si su código está en GitHub o se está trasladando allí, y quiere que cada build genere un registro de lo que se incluyó en la versión, con un precio por minuto de build.
• Use ambos durante una migración gradual: la elección es por pipeline, así que los builds de Linux pueden pasar a GitHub Actions en CRACI mientras los pipelines de Windows, macOS y despliegue se quedan donde están.

Tenga claro a qué renuncia al elegir CRACI. No despliega software, hoy solo ejecuta jobs de Linux, con Windows y macOS en la hoja de ruta, y los runners alojados por el cliente están en la hoja de ruta para Enterprise.

Para productos regulados

Marcos como el Cyber Resilience Act de la UE esperan que los fabricantes sepan qué contiene cada versión y gestionen sus vulnerabilidades, con obligaciones de notificación desde septiembre de 2026. En Azure Pipelines, esa evidencia procede de las tareas y escáneres que usted conecte a cada pipeline. CRACI la genera a partir del registro del build y exporta las SBOM en CycloneDX o SPDX. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que una empresa necesita para su proceso más amplio de cumplimiento del CRA; ninguna de las dos herramientas hace que un producto cumpla por sí sola.

Trasladar un pipeline a CRACI

GitHub Actions Importer, la herramienta de la propia GitHub, convierte pipelines de Azure DevOps en workflows de GitHub Actions. GitHub aspira a que el 80 % de cada workflow se convierta automáticamente y advierte de que cada workflow convertido debe revisarse antes de ejecutarse en producción, así que cuente con algo de trabajo manual. Una vez que un pipeline se ejecuta como workflow de GitHub Actions, se ejecuta en CRACI con una sola línea:

runs-on: craci

Las ejecuciones siguen apareciendo en la interfaz de GitHub. Lea más sobre la generación de SBOM durante el build, consulte las alternativas a Azure Pipelines, compare plataformas de CI/CD o consulte los precios.