Runners de CRACI frente a runners alojados por GitHub

Los mismos workflows, un runner más rápido

Si usa GitHub Actions, sus jobs se ejecutan en runners alojados por GitHub, salvo que haya configurado los suyos. Son cómodos: cada job recibe una máquina virtual nueva, no hay nada que operar y dispone de Linux, Windows y macOS.

CRACI es un runner compatible con GitHub Actions. Instale la GitHub App de CRACI en su organización, en todos los repositorios o en una selección, y cambie una línea de su workflow:

runs-on: craci

Sus archivos de workflow, sus acciones y la interfaz de GitHub siguen igual. CRACI sustituye el runner, no GitHub Actions, y le da tres cosas que un runner de uso general no ofrece: builds más rápidos, una factura más baja y seguridad de la cadena de suministro integrada en la máquina que ejecuta el job.

Velocidad

Los builds en CRACI terminan aproximadamente en la mitad de tiempo que en los runners estándar alojados por GitHub. Se suman tres cosas: hardware más rápido, tiempos de cola más cortos antes de que empiece un job y la caché.

Cuánto se aceleran sus propios builds depende de la carga de trabajo. Las compilaciones y baterías de pruebas limitadas por la CPU son las que más ganan; los jobs que pasan la mayor parte del tiempo esperando a la red o a servicios externos ganan menos. Lo que ayuda:

• Tamaños de runner de 1 a 32 unidades de cómputo, para que los jobs pesados puedan pedir más.
• x86-64 y ARM64 nativos, de modo que los builds de ARM no necesitan emulación.
• Compatibilidad con la caché de GitHub Actions, además de Docker Engine, Buildx y Compose v2 en cada job.
• Virtualización anidada en x86-64, para jobs que inician sus propias máquinas virtuales.

La mejor prueba es su propio pipeline: mueva un job y compare los tiempos directamente en GitHub.

Coste

Dos cosas reducen la factura a la vez. Cada minuto es más barato, y un build más rápido consume menos minutos.

CRACI factura $0.002 por minuto de vCPU, medido por segundo, así que un runner Linux estándar de 2 vCPU cuesta $0.004 por minuto. GitHub anuncia su runner estándar Linux x64 de 2 núcleos a $0.006 por minuto, de modo que el minuto de CRACI cuesta alrededor de un 33 % menos.

Un build de 10 minutos

Tome un build que se ejecuta durante 10 minutos en un runner de 2 núcleos alojado por GitHub:

La diferencia de precio por sí sola ahorra alrededor de un 33 %. El build más corto es lo que lo lleva a alrededor de un 67 %. Si un build no es más rápido con su carga de trabajo, sigue pagando el precio por minuto más bajo.

Qué más cambia la factura

• Redondeo. GitHub redondea cada job al alza a un minuto entero; CRACI mide por segundo. Un job de 10 minutos y 20 segundos se factura como 11 minutos en GitHub, y los pipelines con muchos jobs cortos (lint, fragmentos de pruebas, comprobaciones) pagan muchos segundos sin usar.
• Minutos incluidos. GitHub incluye de 2.000 a 50.000 minutos al mes según su plan, y los runners estándar son gratuitos en repositorios públicos. CRACI no tiene nivel gratuito ni minutos incluidos: paga por minuto de build desde el primer minuto, sin cuota mensual. Dentro de la asignación de GitHub, el coste marginal allí es cero.
• Arquitectura y tamaño. CRACI cobra la misma tarifa por ARM64 y x86-64. El runner arm64 de 2 núcleos de GitHub cuesta $0.005 por minuto, así que los $0.004 de CRACI son un 20 % menos allí. Con 32 vCPU, CRACI cuesta $0.064 por minuto, alrededor de un 22 % menos que los $0.082 de GitHub en x64, pero el runner arm64 de 32 núcleos de GitHub, a $0.050, es más barato por minuto que el de CRACI. La memoria también difiere: una unidad de cómputo de CRACI tiene 3 GB de RAM por vCPU, y el runner privado estándar de 2 núcleos de GitHub tiene 8 GB. Ajústese a lo que necesitan sus builds antes de comparar.

Consulte los precios de CRACI para ver las condiciones actuales.

Seguridad de la cadena de suministro en el runner

Esto es lo que hace un runner de CRACI y para lo que un runner de uso general no está pensado.

Un registro de cada dependencia que descargó el build

Mientras se ejecuta cada job, un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de presets de descarga. La evidencia viaja con las cachés de CI, de modo que los paquetes restaurados desde una caché también se cuentan. Cada job produce una SBOM en CycloneDX o SPDX, con un estado de completitud por job y por caché.

El grafo de dependencias de GitHub se construye a partir de los manifiestos y lockfiles de su repositorio y puede exportarse como SPDX. Describe el repositorio, no un build concreto.

Control sobre a qué puede acceder un build

Las políticas de egress de CRACI son de denegación o permiso por defecto, con 24 presets de fuentes de software integrados, fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git, y reglas explícitas de TLS, TCP, UDP e ICMP. Las políticas se validan antes de que empiece el job; si fallan, bloquean, y envían una alerta cuando se infringen. Con una política de denegación por defecto, una dependencia comprometida que intente acceder a un host inesperado se detiene en el runner.

Los runners más grandes de GitHub ofrecen direcciones IP estáticas y red privada de Azure, que le permiten gestionar el acceso saliente a través de su propia red de Azure. Es útil, y es un enfoque distinto: infraestructura de red que usted configura en Azure en lugar de una política vinculada al job.

Procedencia

La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia y no reivindica ningún nivel SLSA.

GitHub ofrece artifact attestations basadas en Sigstore, que, según GitHub, proporcionan SLSA v1.0 Build Level 2 por sí solas y Level 3 con reusable workflows. Si la procedencia firmada o un nivel SLSA formal es un requisito para usted, ese es un punto a favor de GitHub.

Aislamiento y ubicación de los datos

Los jobs de CRACI se ejecutan en máquinas virtuales aisladas. En el plan Enterprise, CRACI ofrece residencia de datos en la UE, con la ejecución de los builds en infraestructura bare-metal europea.

Cuándo seguir con los runners alojados por GitHub

• Necesita runners Windows o macOS. CRACI es hoy solo Linux; Windows y macOS están en la hoja de ruta.
• Sus repositorios son públicos y los runners estándar los cubren gratis.
• Su uso cabe en los minutos incluidos en su plan.

Muchos equipos combinan ambos: los jobs de build y pruebas de Linux en CRACI, y los de macOS y Windows en GitHub. Como el cambio es una etiqueta runs-on, puede mover los jobs de uno en uno.