CRACI vs. Jenkins | Hallinnoitu GitHub Actions vs. oma CI

Lyhyt vastaus

Jenkins kutsuu itseään "johtavaksi avoimen lähdekoodin automaatiopalvelimeksi", eikä syyttä: se toimii missä tahansa, mihin sen asennat, jakaa työn niin monelle koneelle kuin annat, ja yli 2 300 yhteisön liitännäistä yhdistää sen lähes mihin tahansa työkaluun. Jos buildien on pysyttävä kokonaan omassa verkossasi tai putkesi riippuvat liitännäisistä, joille ei ole vastinetta muualla, Jenkinsiä on vaikea korvata.

CRACI on erilainen tuote. Se on hallinnoitu runneri GitHub Actionsille: ei päivitettävää ohjainta eikä paikattavaa agenttia. Jokaisen jobin aikana CRACI tallentaa jokaisen ulkoisen riippuvuuden, jonka buildi hakee, valvoo buildiverkon egress-käytäntöä ja tuottaa tästä tallenteesta SBOM:t, alkuperätiedot ja haavoittuvuuksien valvonnan. Jenkins pystyy osaan tästä valitsemiesi, määrittämiesi ja ajan tasalla pitämiesi liitännäisten avulla; CRACI tekee runnerista itsestään tietoturvatallenteen.

Yksi käytännön asia ensin. CRACI tukee nyt GitHub Actionsia, ja Jenkins ja GitLab CI ovat tiekartalla ilman päivämäärää. Jotta Jenkins-putki voi toimia CRACI:lla nyt, se siirretään ensin GitHub Actions -työnkuluksi.

Yhdellä silmäyksellä

Ominaisuus	CRACI	Jenkins
Mikä se on	Hallinnoitu, suojattu runneri GitHub Actionsille.	Avoimen lähdekoodin automaatiopalvelin, jota ylläpidät itse.
Mitä ylläpidät	Ei mitään: ei ohjainta eikä agenttia ajettavana.	Ohjaimen, agentit, päivitykset ja liitännäiset.
Miten SBOM syntyy	Tallennetaan siitä, mitä kukin jobi haki, kattavuustilan kera	Lisäämäsi liitännäiset tai työkalut
Buildiverkon egress-käytäntö	Oletuksena estävä tai salliva, validoidaan ennen jobia, fail closed	Rakennat itse omille agenteillesi
Haavoittuvuuksien valvonta	Valvotut SBOM:t arvioidaan jatkuvasti uudelleen	Lisäämäsi liitännäiset tai työkalut
CI-järjestelmät	GitHub Actions nyt; GitLab CI ja Jenkins tiekartalla	Jenkins-putket, useimmat versionhallinnat liitännäisten kautta
Windows ja macOS	Linux x86-64:llä ja ARM64:llä nyt	Mikä tahansa ajamasi agentti
Ajetaan omilla koneillasi	Asiakkaan ylläpitämät runnerit, Enterprise	Ainoa vaihtoehto
Laajennettavuus	GitHub Actions ja sen actions-markkinapaikka.	Yli 2 300 yhteisön liitännäistä.
Hinta	$0.004 minuutilta ($0.002 vCPU-minuutilta), laskutetaan sekunneittain. Ei kuukausimaksua eikä SBOM-kohtaista maksua.	Ilmainen ja avointa lähdekoodia; maksat koneista ja ihmisistä, jotka niitä ylläpitävät.

Sisältyy
Osittain
Tiekartalla

Missä Jenkins on hyvä

Toimii siellä, missä tarvitset. Jenkins toimii omilla palvelimillasi, omassa verkossasi, ilman SaaS-ohjaustasoa. Agentit voivat olla Linux-, Windows- tai macOS-koneita tai mitä tahansa muita koneita, jotka saat yhdistettyä, joten yksi ohjain voi buildata backendin, työpöytäsovelluksen ja laiteohjelmiston.

Liitännäisiä lähes kaikkeen. Liitännäisekosysteemi on Jenkinsin suurin vahvuus. Versionhallinnalle, build-työkaluille, testiraporteille, käyttöönottokohteille ja tietoturvaskannereille on liitännäiset, ja tiimit, joilla on epätavallinen työkaluketju, huomaavat usein Jenkinsin olevan ainoa CI, joka jo tukee niitä.

Ei lisenssikuluja. Jenkins on ilmainen ja avointa lähdekoodia. Kulusi ovat koneet, joilla se toimii, ja aika, jonka tiimisi käyttää sen ylläpitoon.

Missä CRACI eroaa

Ei mitään ylläpidettävää

Jenkins-asennus on järjestelmä, jonka tiimisi omistaa: ohjain, agentit, liitännäiset ja päivitykset. Jenkins-projekti julkaisee tietoturvatiedotteita ytimelle ja liitännäisille usein, useita kuukaudessa vuonna 2026 (esimerkiksi 2.9., 16.9. ja 5.8.), ja jokaisen soveltaminen on sinun tehtäväsi. CRACI ajaa jobit hallinnoiduilla runnereilla, eristetyissä virtuaalikoneissa, yksi VM jobia kohden, joten sinulla ei ole paikattavaa build-palvelinta.

SBOM tulee buildista

Jenkinsissä SBOM tulee lisäämästäsi liitännäisestä tai skannausvaiheesta, joka yleensä lukee manifestit ja lukitustiedostot jälkikäteen. Buildit tekevät usein enemmän kuin nuo tiedostot kertovat: asennusskriptit lataavat koodia, build-skriptit hakevat buildin aikana, ja välimuistit palauttavat paketteja, joita mikään lukitustiedosto ei mainitse. CRACI näkee tämän liikenteen, koska se on runneri. Paketit tunnistava välityspalvelin tallentaa, mitä kukin jobi hakee pakettilähteistä, npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteistä, ja riippuvuusnäyttö kulkee CI-välimuistien mukana. Jokainen CycloneDX- tai SPDX-SBOM ilmoittaa, kuinka kattava se on, jobi- ja välimuistikohtaisesti.

Käytäntö buildiverkolle

Jenkinsissä buildin tavoitettavissa olevien kohteiden hallinta tarkoittaa agenttiesi ympärille rakennettuja palomuurisääntöjä tai välityspalvelimia, jotka suunnittelet ja ylläpidät itse. CRACI:ssa jokaisen jobin egress-käytäntö päättää, mihin palvelimiin se saa yhteyden: oletuksena estävä tai oletuksena salliva, 24 sisäänrakennettua ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet, validoituna ennen jobin käynnistymistä. Käytännöt noudattavat fail closed -periaatetta, ja rikkomuksista lähtee hälytys.

Toimitetun ohjelmiston valvonta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI kokoaa haavoittuvuudet kaikista buildeista ja repositorioista, arvioi valvottuja SBOM:eja jatkuvasti uudelleen tietoturvatiedotteiden ilmestyessä ja näyttää, mitkä aiemmat buildit sisälsivät haavoittuvan riippuvuuden, joten tiedät, minkä ajanjakson olit altistunut.

Hinnoittelu build-minuuttien mukaan

Jenkinsillä ei ole lisenssimaksua, mutta sen ajaminen ei ole ilmaista: maksat ohjaimesta ja agenteista, olivat ne käyttämättä tai kiireisiä, ja ihmisistä, jotka pitävät ne ajan tasalla. CRACI veloittaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletusarvoiselta 2 vCPU:n runnerilta), laskutetaan sekunneittain, ei kuukausimaksua eikä SBOM-kohtaista maksua.

Kumpi sopii

Pysy Jenkinsissä, jos buildien on toimittava kokonaan omalla infrastruktuurillasi, jos olet riippuvainen liitännäisistä, joille ei ole GitHub Actions -vastinetta, jos tarvitset Windows- tai macOS-buildeja tai jos sinulla on ihmiset sen ylläpitoon ja se toimii.
Valitse CRACI, jos koodisi on GitHubissa, siirrät tai olet valmis siirtämään putkia GitHub Actionsiin ja haluat lopettaa build-palvelimien ylläpidon ja saada samalla tallenteen siitä, mitä kuhunkin julkaisuun meni.
Käytä molempia asteittaisen siirtymän aikana: siirrä uudet projektit ja Linux-putket GitHub Actionsiin CRACI:lle ja jätä vakaat Jenkins-jobit paikoilleen.

Ole selvillä siitä, mistä luovut valitessasi CRACI:n tänään. Se ajaa vain Linux-jobeja, ja Windows ja macOS ovat tiekartalla; asiakkaan ylläpitämät runnerit ovat tiekartalla Enterprise-asiakkaille; ja Jenkins-putket on muutettava GitHub Actions -työnkuluiksi, kunnes Jenkins-tuki saapuu.

Säännellyille tuotteille

Säädökset, kuten EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA), edellyttävät valmistajien tietävän, mitä kussakin julkaisussa on, ja käsittelevän sen haavoittuvuudet, ja raportointivelvoitteet alkavat syyskuussa 2026. Jenkinsissä tämä näyttö tulee niistä liitännäisistä ja skannereista, jotka kytket kuhunkin putkeen. CRACI tuottaa sen buildin tallenteesta ja vie SBOM:t CycloneDX- tai SPDX-muodossa. Se automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritys tarvitsee laajempaan CRA-prosessiinsa; kumpikaan työkalu ei yksinään tee tuotteesta vaatimustenmukaista.

Putken siirtäminen CRACI:lle

GitHubin oma GitHub Actions Importer muuntaa Jenkins-putket GitHub Actions -työnkuluiksi. GitHubin tavoitteena on, että 80 % kustakin työnkulusta muuntuu automaattisesti, ja sen mukaan jokainen muunnettu työnkulku pitää tarkistaa ennen tuotantoajoa, joten varaudu jonkin verran käsityöhön. Kun putki toimii GitHub Actions -työnkulkuna, se toimii CRACI:lla yhdellä rivillä:

runs-on: craci

Ajot näkyvät edelleen GitHubin käyttöliittymässä. Lue lisää buildin aikaisesta SBOM-generoinnista, katso vaihtoehdot Jenkinsille, vertaa CI/CD-alustoja tai katso hinnoittelu.