CRACI vs. Buildkite

Lyhyt vastaus

Buildkite on hybridi CI/CD-alusta. Sen SaaS-ohjaustaso hoitaa orkestroinnin, ja jobisi ajavat agentit toimivat omassa infrastruktuurissasi, omissa tiloissa tai pilvessä. Buildkiten mukaan lähdekoodi ja salaisuudet pysyvät omassa ympäristössäsi. Se tarjoaa myös täysin hallinnoituja agentteja, jos et halua ylläpitää omiasi.

CRACI on hallinnoitu, GitHub Actions -yhteensopiva runneri, joka on rakennettu toimitusketjun tietoturvaa varten. Se tallentaa jokaisen ulkoisen riippuvuuden, jonka buildi hakee, valvoo buildiverkon egress-käytäntöä ja tuottaa tallenteesta SBOM:t, alkuperätiedot ja CRA-näytön. Yksinkertaisesti: Buildkite on perinteistä CI:tä, jossa infrastruktuurin hallinta on mahdollisimman laaja; CRACI on tietoturvan huomioivaa CI:tä, jossa runneri on itse näyttö.

CRACI tukee tällä hetkellä vain GitHub Actionsia, joten se ei aja Buildkite-putkia. Buildkitea käyttävän tiimin pitäisi siirtää putki GitHub Actionsiin käyttääkseen CRACI:n runnereita tai odottaa muiden CI-järjestelmien tukea, joka on tiekartalla.

Missä Buildkite on hyvä

Laskennan hallinta. Koska ylläpidät agentit itse, valitset laitteiston, käyttöjärjestelmän, verkon ja alueen. Agentit kyselevät Buildkiten agentti-API:a HTTPS:n yli, joten sinun ei tarvitse avata saapuvan liikenteen palomuuriportteja. Malli sopii suuriin monorepoihin, erikoislaitteistoon ja organisaatioihin, joiden käytännöt pitävät lähdekoodin oman rajansa sisällä.

Putken eheys. Allekirjoitetuissa putkissa jobit allekirjoitetaan latauksen yhteydessä, ja agentit tarkistavat allekirjoituksen ennen ajoa, joten agentti ei aja jobia, jonka ohjeita on muutettu latauksen jälkeen.

Työkalut buildin ympärillä. Test Engine tunnistaa ja eristää epävakaat testit ja jakaa testit rinnakkaisiin jobeihin. Package Registries voi julkaista artefakteja SLSA-alkuperätietojen kanssa, mikä Buildkiten mukaan täyttää SLSA Build Level 1:n; ominaisuus on saatavilla Enterprise-tilauksissa.

Joustava hinnoittelu. Syyskuun 2026 tilanteen mukaan Buildkitella on Free-tilaus ja Pro-tilaus, joka maksaa $30 aktiivista käyttäjää kohden kuukaudessa. Pro sisältää 10 itse ylläpidettyä agenttia, ja lisäagentit maksavat $3.50 agentilta kuukaudessa. Ylläpidetyt Linux-agentit maksavat $0.004 vCPU-minuutilta, mitattuna sekunnin tarkkuudella.

Missä CRACI on erilainen

Tietoturvanäyttö on osa runneria

Omilla agenteilla buildiympäristön suojaaminen on sinun vastuullasi. Buildkiten oma tietoturvaohjeistus neuvoo asentamaan minimaaliset käyttöjärjestelmät, poistamaan saapuvan SSH:n käytöstä ja valvomaan tiukasti lähtevää verkkoliikennettä. Se on reilu vastuunjako, ja se tarkoittaa, että toimitusketjun näyttö riippuu siitä, mitä tiimisi rakentaa agenttien ympärille.

CRACI:ssa tämä kerros tulee runnerin mukana. Paketit tunnistava välityspalvelin tallentaa liikenteen pakettilähteisiin jokaisen jobin ajon aikana: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteet sekä latausesiasetukset. Riippuvuusnäyttö kulkee CI-välimuistien mukana. Jokainen jobi tuottaa CycloneDX- tai SPDX-SBOM:n, jolla on kattavuustila jobikohtaisesti ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded.

Egress-käytäntö ilman omaa rakentamista

CRACI:n egress-käytännöt ovat oletuksena estäviä tai sallivia, ja niissä on 24 valmista ohjelmistolähteiden esiasetusta, tyypitetyt omat lähteet npm:lle, PyPI:lle, apt:lle, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille sekä eksplisiittiset TLS-, TCP-, UDP- ja ICMP-säännöt. Käytännöt validoidaan ennen jobin alkua, ne noudattavat fail closed -periaatetta ja lähettävät hälytyksen rikkomuksesta.

Alkuperätiedot ja valvonta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja. Se kokoaa haavoittuvuudet buildien ja repositorioiden yli ja arvioi valvottuja SBOM:eja jatkuvasti uudelleen.

Kompromissi

CRACI on tällä hetkellä hallinnoitu palvelu; asiakkaan ylläpitämät runnerit ovat Enterprisen tiekartalla. Jobit ajetaan eristetyissä virtuaalikoneissa CRACI:n infrastruktuurissa, ja lähdekoodi käsitellään jobin virtuaalikoneessa buildin ajan eikä sitä tallenneta. Enterprise-tilauksessa CRACI tarjoaa datan säilytyksen EU:ssa ja buildien ajon eurooppalaisella bare-metal-infrastruktuurilla. Jos käytäntösi edellyttää buildeja omalla laitteistolla, Buildkiten malli täyttää vaatimuksen ja CRACI:n ei.

Kumpi sopii

• Buildkite, jos tarvitset buildit omalle laitteistollesi tai verkkoosi, ajat Windows- tai macOS-buildeja, käytät GitLabia tai Bitbucketia tai toimit mittakaavassa, jossa oma laskentakapasiteetti kannattaa.
• CRACI, jos käytät GitHub Actionsia ja haluat buildinäytön ilman sen rakentamista ja ylläpitoa: tallennetut riippuvuudet, egress-käytäntö ja CRA-näyttö yhdestä runnerista.
• Molemmat, jos organisaatiosi on jakautunut: Buildkite putkille, joiden on pysyttävä omalla laitteistollasi, ja CRACI Linuxin GitHub Actions -työnkuluille. Raskaat Linux-buildit, kuten Yocto-levykuvat, voivat toimia CRACI:n runnereilla, joissa on enintään 32 vCPU:ta ja 96 Gt RAM-muistia, kuten CRACI:n Yocto-oppaassa kuvataan.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tietävät, mitä kukin julkaisu sisältää, ja käsittelevät sen haavoittuvuudet. Raportointivelvoitteet alkavat syyskuussa 2026 ja säädöstä sovelletaan kokonaisuudessaan joulukuusta 2027. Buildkitessa tämä näyttö tulee agenteillasi ajamistasi työkaluista. CRACI tuottaa sen buildin tallenteesta, valvoo jatkuvasti toimitettua ohjelmistoa ja vie SBOM:t CycloneDX- tai SPDX-muodossa haavoittuvuuksineen. Se automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajemmassa CRA-vaatimustenmukaisuuden prosessissaan.

CRACI:n lisääminen

Kun repositoriosi on GitHubissa ja käyttää GitHub Actions -työnkulkuja, asenna CRACI GitHub App organisaatioosi ja aseta runnerin label:

runs-on: craci

Ajot näkyvät edelleen GitHubin käyttöliittymässä. Lue lisää buildin aikaisesta SBOM-generoinnista ja siitä, miten CRACI hoitaa tietoturvan, tai katso hinnoittelu.