CRACI vs. Depot

Lyhyt vastaus

Depot on buildien nopeuttamista: GitHub Actions -runnerit, Docker-etäbuildipalvelu pysyvällä kerrosvälimuistilla, etävälimuisti Bazelin ja Gradlen kaltaisille työkaluille sekä oma CI-moottori. CRACI on GitHub Actions -yhteensopiva runneri, joka on rakennettu toimitusketjun tietoturvan ympärille. Jokainen jobi tuottaa SBOM:n siitä, mitä se todella haki, ja ajetaan määrittelemäsi egress-käytännön alaisena.

Ero yhdellä rivillä: Depot optimoi sitä, kuinka nopeasti buildisi ajetaan, ja CRACI tallentaa ja hallitsee sitä, mitä buildiin menee. Molemmat korvaavat GitHubin ylläpitämän runnerin, joten valitset toisen.

Yhdellä silmäyksellä

Missä Depot on hyvä

Depot on rakentanut laajan ja hyvin dokumentoidun runneri- ja build-alustan. Poimintoja sen omasta dokumentaatiosta:

• Laaja runnerivalikoima. Linux-runnerit AMD EPYC- (Intel-tunnisteet) ja AWS Graviton4 (Arm) -alustoilla 2 vCPU:sta ja 8 Gt:sta RAM-muistia aina 64 vCPU:hun ja 256 Gt:hen, lisäksi Windows Server 2022 ja 2025 sekä macOS-runnerit kaikissa paketeissa.
• Välimuisti. Runnerit on kytketty Depotin hajautettuun välimuistiin, jonka Depot kertoo yltävän jopa 1000 MiB/s:n lähetys- ja latausnopeuksiin. Depot kuvaa runnereitaan sanoin "up to 3x faster than a GitHub-hosted runner" ja "10x faster caching".
• Docker-buildit. depot build on suora korvaaja komennolle docker build, ja se ajetaan etä-BuildKit-palvelimella, jossa on tiimisi kesken jaettu pysyvä NVMe-kerrosvälimuisti. Se buildaa x86- ja Arm-kuvat natiivisti ilman QEMU-emulointia. Depotin mukaan tämä on jopa 40 kertaa nopeampaa kuin buildaaminen paikallisesti tai CI-palvelussa.
• Eristys. Jokainen GitHub Actions -jobi ajetaan uudella, yhden asiakkaan EC2-instanssilla, jota ei koskaan käytetä uudelleen.
• Lähtevän liikenteen suodatus. Salli- ja estosäännöt IP-osoitteille, CIDR-lohkoille ja palvelinnimille sekä oletussääntö, jonka asetat sallivaksi tai estäväksi. Se koskee tällä hetkellä Linux-runnereita.
• Enterprise-vaihtoehdot. Business-tilauksessa Depot Managed ottaa datatason käyttöön omalla AWS-tililläsi AWS PrivateLinkin, kiinteiden lähtevien IP-osoitteiden ja SSO:n kanssa. Depot ilmoittaa SOC 2 Type II -raportin.

Jos Docker-kuvien buildiaika on CI:si suurin pullonkaula, Depot on rakennettu juuri siihen ongelmaan.

Missä CRACI eroaa

CRACI pitää buildia totuuden lähteenä sille, mitä toimitat. Runneri on paikka, jossa tuo näyttö kerätään.

Tallenne siitä, mitä buildi haki

Kunkin jobin ajon aikana paketit tunnistava välityspalvelin (proxy) tallentaa liikenteen pakettilähteisiin: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteisiin sekä latausesiasetuksiin. Riippuvuustiedot kulkevat CI-välimuistien mukana, joten välimuistista palautettu paketti lasketaan silti mukaan. Kunkin jobin CycloneDX- tai SPDX-muotoisessa SBOM:ssa on kattavuustila jobi- ja välimuistikohtaisesti, joten tiedät, milloin tallenne on kattava ja milloin ei.

Myös Depot voi tuottaa SBOM:n: lisää --sbom=true komentoon depot build, niin se generoi SPDX-muotoisen SBOM:n Syftillä. Se on skannaus buildin tuottamasta kuvasta. CRACI:n tallenne kattaa koko jobin, mukaan lukien build-työkalut ja paketit, jotka eivät koskaan päädy kuvaan, sekä jobit, jotka eivät buildaa kuvia lainkaan.

Ohjelmistolähteitä varten rakennettu egress-käytäntö

Molemmilla tuotteilla voit estää runnerin odottamattoman lähtevän liikenteen. CRACI:n käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja niissä on 24 valmista ohjelmistolähteiden esiasetusta, tyypitetyt omat lähteet npm:lle, PyPI:lle, aptille, apkille, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille HTTPS:n ja SSH:n yli, sekä eksplisiittiset TLS-, TCP-, UDP- ja ICMP-säännöt. Käytännöt validoidaan ennen jobin alkua, noudattavat fail closed -periaatetta (virhetilanteessa liikenne estetään) ja lähettävät hälytyksen rikkomuksesta. Depotin säännöt toimivat IP-osoitteiden, CIDR-lohkojen ja palvelinnimien tasolla, mikä on helpompi hahmottaa, jos et tarvitse muuta.

Alkuperätiedot ja valvonta

• Alkuperätiedot. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot (provenance). CRACI ei allekirjoita alkuperätietoja. Depotin kuvabuildeihin voi liittää BuildKit-alkuperäattestaatioita, jotka asetetaan --provenance-lipulla.
• Toimitettujen buildien valvonta. Valvottuja SBOM:eja arvioidaan jatkuvasti uudelleen uusia haavoittuvuuksia vasten, ja löydökset kootaan buildien ja repositorioiden yli.

Hinta ja koot

Marraskuussa 2026 Depot veloittaa 2 vCPU:n ja 8 Gt:n Linux-runneristaan $0.006 minuutilta paketin sisältämien minuuttien jälkeen, ja suuremmat koot skaalautuvat lineaarisesti: 32 vCPU:ta maksaa $0.096 minuutilta. Developer-tilaus maksaa $20 kuukaudessa ja sisältää 2 000 GitHub Actions -minuuttia, ja Startup-tilaus $200 kuukaudessa ja sisältää 20 000. Depot seuraa käyttöä sekunnin tarkkuudella ilman yhden minuutin minimiä ajoa kohden ja tarjoaa 7 päivän ilmaisen kokeilun.

CRACI laskuttaa $0.002 vCPU-minuutilta, joten 2 vCPU:ta maksaa $0.004 minuutilta ja 32 vCPU:ta $0.064 minuutilta, ja ARM64 on samanhintainen. Käyttö mitataan sekunneittain, eikä kuukausimaksua ole. Depotin paketin minuuttien jälkeen se on noin 33 % vähemmän minuutilta jokaisessa koossa. Vertaa muistia ennen vertailua: CRACI:n laskentayksikössä on 3 Gt RAM-muistia vCPU:ta kohden, Depotin runnereissa 4 Gt vCPU:ta kohden. Ajantasaiset ehdot löytyvät sivulta CRACI:n hinnoittelu.

Kumpi sopii

Depot sopii paremmin, kun

• Docker-kuvien buildit vievät suurimman osan CI-ajastasi.
• Tarvitset Windows- tai macOS-runnereita. CRACI on tällä hetkellä vain Linuxille; Windows ja macOS ovat tiekartalla.
• Tarvitset runnereita omalla AWS-tililläsi. CRACI ei vielä tarjoa asiakkaan ylläpitämiä runnereita; ne ovat Enterprisen tiekartalla.
• Luotat etävälimuistiin Bazelille, Gradlelle, Turborepolle tai sccachelle.

CRACI sopii paremmin, kun

• Sinun on osoitettava, mitä julkaisuun meni, suoraan buildista ja kattavuustilan kanssa.
• Haluat buildin lähtevää liikennettä hallittavan pakettilähteittäin ja validoitavan ennen jokaista jobia.
• Haluat toimitettujen SBOM:ien valvonnan yhteen paikkaan.
• Tarvitset datan sijainnin EU:ssa, mikä on saatavilla CRACI:n Enterprise-tilauksessa.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää valmistajilta, että ne tuntevat tuotteidensa komponentit, käsittelevät niiden haavoittuvuudet ja säilyttävät näytön. Depotin tuote on build-infrastruktuuria, ja sen dokumentaatio keskittyy nopeuteen, välimuistiin ja eristykseen. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa: buildin aikana tallennetut SBOM:t, haavoittuvuuksien seurannan, alkuperätiedot ja SBOM-viennin CycloneDX- tai SPDX-muodossa.

Siirtyminen Depotista CRACI:iin

Asenna CRACI GitHub App organisaatioosi joko kaikkiin tai valittuihin repositorioihin ja vaihda sitten jobin runneritunniste:

runs-on: craci

Työnkulkusi ja GitHubin käyttöliittymä pysyvät ennallaan. Siirrä yksi jobi kerrallaan aloittaen jobista, joka buildaa jotain toimittamaasi. Katso sen SBOM ja verkkojälki ja kirjoita sitten egress-käytäntö, joka sallii sen tarvitsemat lähteet. Lue lisää CI/CD-integraatiosta ja buildin aikaisesta SBOM-generoinnista.

Välimuisteista, OIDC-luottamuskäytännöistä, IP-sallittujen listoista ja varajärjestelyistä kerrotaan sivulla miten vaihdat GitHub Actions -runnerien tarjoajaa.