CRACI vs. Azure Pipelines

Lyhyt vastaus

Azure Pipelines on Azure DevOpsin CI/CD-osa. Se buildaa ja testaa Linuxilla, Windowsilla ja macOS:llä, toimii Azure Reposin ja GitHubin kanssa ja ottaa käyttöön virtuaalikoneisiin, kontteihin sekä on-premises- ja pilvikohteisiin. Jos työnseurantasi, repositoriosi ja julkaisusi ovat Azure DevOpsissa tai tarvitset Windows- ja macOS-buildeja yhdellä Microsoftin sopimuksella, se sopii hyvin.

CRACI kattaa kapeamman osan ja menee siinä syvemmälle. Se on GitHub Actionsin runneri: jokaisen jobin aikana se tallentaa jokaisen ulkoisen riippuvuuden, jonka buildi hakee, valvoo build-verkon egress-käytäntöä ja tuottaa tästä tallenteesta SBOM:t, alkuperätiedot ja haavoittuvuuksien valvonnan. Azure Pipelinesissa tuo näyttö tulee tehtävistä ja työkaluista, jotka lisäät kuhunkin putkeen.

Yksi käytännön asia ensin. CRACI tukee tällä hetkellä vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Azure Pipelinesia ei tueta, joten putki siirretään GitHub Actions -työnkuluksi, jotta se voidaan ajaa CRACI:lla.

Yhdellä silmäyksellä

Missä Azure Pipelines on hyvä

Yksi alusta Azure DevOpsin kanssa. Putket ovat työnseurannan, Azure Reposin ja Azure Artifactsin vieressä, joten työtehtävät, koodi, buildit ja paketit ovat yhdessä paikassa. Se buildaa myös GitHubissa olevaa koodia.

Kaikki käyttöjärjestelmät. Microsoftin ylläpitämät agentit ajavat Linuxia, Windowsia ja macOS:ää, ja yksi rinnakkainen jobi ajaa niistä mitä tahansa samaan hintaan. Itse ylläpidetyt agentit laajentavat tämän omiin koneisiisi, ja Azure DevOps Server tuo koko alustan on-premises-ympäristöön.

Rajattomat minuutit jobia kohden. Maksullisella rinnakkaisella jobilla ei ole kuukausittaista minuuttirajaa, ja kukin ajo saa kestää enintään 360 minuuttia. Tiimi, joka pitää jobinsa kiireisinä koko päivän, maksaa kiinteän hinnan riippumatta siitä, kuinka kauan buildit kestävät.

Käyttöönotot sisäänrakennettuina. Putket vievät buildit käyttöön asti virtuaalikoneisiin, kontteihin, on-premises-palvelimille ja pilvikohteisiin.

Missä CRACI eroaa

SBOM syntyy buildista

Azure Pipelinesissa SBOM tulee lisäämästäsi tehtävästä tai skanneri-vaiheesta, joka yleensä lukee manifestit ja lukitustiedostot (lockfile) jälkikäteen. Buildit tekevät usein enemmän kuin nuo tiedostot kertovat: asennusskriptit lataavat koodia, build-skriptit hakevat asioita buildin aikana ja välimuistit palauttavat paketteja, joita mikään lukitustiedosto ei mainitse. CRACI näkee tämän liikenteen, koska se on runneri. Pakettitietoinen välityspalvelin (proxy) tallentaa, mitä kukin jobi hakee pakettilähteistä – npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk ja Git-lähteet – ja riippuvuusnäyttö kulkee CI-välimuistien mukana. Jokainen CycloneDX- tai SPDX-muotoinen SBOM kertoo, kuinka kattava se on, jobia ja välimuistia kohden.

Käytäntö build-verkolle

Microsoftin ylläpitämillä agenteilla et voi itse määrittää, mihin buildi pääsee; itse ylläpidetyillä agenteilla se on verkkoputkistoa, jonka rakennat ja ylläpidät itse. CRACI asettaa jokaiselle jobille egress-käytännön: oletuksena estävä tai oletuksena salliva, 24 sisäänrakennettua ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet, ja käytäntö validoidaan ennen jobin alkua. Käytännöt toimivat fail closed -periaatteella, ja rikkeistä lähtee hälytys.

Toimitetun valvonta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI kokoaa haavoittuvuudet buildien ja repositorioiden yli, arvioi valvottuja SBOM:eja jatkuvasti uudelleen uusien tietoturvatiedotteiden ilmestyessä ja näyttää, mitkä aiemmat buildit sisälsivät haavoittuvan riippuvuuden, joten tiedät, minkä ajanjakson olit altistunut.

Maksu minuuteista, ei rinnakkaisista jobeista

Azure Pipelines myy samanaikaisuutta: jokainen buildi, jonka haluat käyntiin samaan aikaan, tarvitsee oman $40 kuukaudessa maksavan hostatun jobin, yhdessä koossa (2 ydintä ja 7 Gt). Kun jobi on kiireinen 8 tuntia jokaisena 22 työpäivänä, sen hinnaksi tulee noin $0.0038 minuutilta, hieman alle CRACI:n $0.004 2 vCPU:n runnerilta. Puolet tuosta ajasta kiireisenä se on noin $0.0076. Buildit tulevat ryöpyissä, joten kiireisintä tuntia varten ostetut jobit seisovat käyttämättöminä loppupäivän.

CRACI veloittaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletuksena olevalta 2 vCPU:n runnerilta), mitattuna sekunneittain, ilman kuukausimaksua ja ilman SBOM-kohtaista veloitusta. Enemmän tehoa tarvitseva jobi voi käyttää enintään 32 vCPU:ta. Katso koko vertailu sivulta CI-runnereiden hinnoittelu.

Kumpi sopii

• Pysy Azure Pipelinesissa, jos työnseurantasi, repositoriosi ja julkaisusi ovat Azure DevOpsissa, jos tarvitset Windows- tai macOS-buildeja, jos otat käyttöön samoista putkista tai jos jobisi ovat kiireisiä koko päivän.
• Valitse CRACI, jos koodisi on GitHubissa tai siirtymässä sinne ja haluat jokaisen buildin tuottavan tallenteen siitä, mitä julkaisuun meni, build-minuuttien mukaan hinnoiteltuna.
• Käytä molempia asteittaisen siirtymän aikana: valinta tehdään putkikohtaisesti, joten Linux-buildit voivat siirtyä GitHub Actionsiin CRACI:lle, kun taas Windows-, macOS- ja käyttöönottoputket jäävät.

Ole selvillä siitä, mistä luovut valitsemalla CRACI:n. Se ei ota ohjelmistoja käyttöön, se ajaa tällä hetkellä vain Linux-jobeja, ja Windows ja macOS ovat tiekartalla. Asiakkaan ylläpitämät runnerit ovat Enterprisen tiekartalla.

Säännellyille tuotteille

Esimerkiksi EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tietävät, mitä kukin julkaisu sisältää, ja käsittelevät sen haavoittuvuudet, ja raportointivelvoitteet alkavat syyskuussa 2026. Azure Pipelinesissa tuo näyttö tulee niistä tehtävistä ja skannereista, jotka kytket kuhunkin putkeen. CRACI tuottaa sen buildin tallenteesta ja vie SBOM:t CycloneDX- tai SPDX-muodossa. Se automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritys tarvitsee laajempaan CRA-prosessiinsa; kumpikaan työkalu ei yksinään tee tuotteesta vaatimustenmukaista.

Putken siirtäminen CRACI:lle

GitHubin oma GitHub Actions Importer muuntaa Azure DevOps -putket GitHub Actions -työnkuluiksi. GitHubin tavoite on, että 80 % kustakin työnkulusta muuntuu automaattisesti, ja se kehottaa tarkistamaan jokaisen muunnetun työnkulun ennen kuin se ajetaan tuotannossa, joten varaudu jonkin verran käsityöhön. Kun putki toimii GitHub Actions -työnkulkuna, se ajetaan CRACI:lla yhdellä rivillä:

runs-on: craci

Ajot näkyvät yhä GitHubin käyttöliittymässä. Lue lisää SBOM-generoinnista buildin aikana, katso Azure Pipelinesin vaihtoehdot, vertaa CI/CD-alustoja tai katso hinnoittelu.