CRACI vs. Namespace

Lyhyt vastaus

Namespace on kehittäjäinfrastruktuuria: hallinnoituja GitHub Actions -runnereita, etä-Docker-buildereita, välimuistivoluumeja, Bazelin etäsuoritusta ja pilvipohjaisia kehitysympäristöjä, jotka kaikki toimivat Namespacen itse ylläpitämällä laitteistolla. CRACI on GitHub Actions -yhteensopiva runneri, joka on rakennettu toimitusketjun tietoturvan ympärille. Jokainen jobi tuottaa SBOM:n siitä, mitä se todella haki, ja ajetaan egress-käytännön alaisena.

Kumpikin tuote voi rajoittaa, mihin buildi pääsee verkossa, ja Namespacen egress-käytännöt on suunniteltu hyvin. Ero on siinä, mitä muuta runnerilla tapahtuu: Namespace keskittyy nopeuteen, alustoihin ja välimuistiin, CRACI taas tallentaa buildin ja vie tallenteen haavoittuvuuksien valvontaan ja CRA-näyttöön. Kumpikin korvaa GitHubin ylläpitämän runnerin, joten valitset toisen.

Yhdellä silmäyksellä

Missä Namespace on hyvä

• Alustat. Linux AMD64:llä (AMD EPYC) ja ARM64:llä (AmpereOne sekä Apple Silicon ennakkokäytössä), Windows AMD EPYC:llä ja macOS Apple M5 Maxilla tai M4 Prolla. Windows-runnerit sisältyvät Team-tilaukseen ja sitä ylempiin.
• Runneriprofiilit. Luot hallintapaneelissa profiilin, jolle valitaan käyttöjärjestelmä ja konekoko, ja viittaat siihen runs-on-kentässä. Koot ulottuvat Linuxilla 64 vCPU:hun asti, ja Namespacen mukaan tuki voi avata jopa 512 Gt RAM-muistia.
• Välimuistit. Välimuistivoluumit säilyttävät datan paikallisessa tallennustilassa ajojen välillä, joten jobien ei tarvitse ladata välimuistiarkistoa ylös ja alas joka kerta. Namespace tarjoaa myös Docker-buildien välimuistin, Bazelin etävälimuistin ja -suorituksen sekä Turborepon ja Gradlen välimuistit.
• Egress-käytännöt. Käytännöt toimivat BLOCK-tilassa, joka estää kaiken sallimattoman, tai ADVISORY-tilassa, joka tallentaa samat päätökset estämättä, jotta voit rakentaa sallittujen listan todellisesta liikenteestä. Säännöt kohdistuvat verkkotunnuksiin, hallinnoitu github-actions-sääntöjoukko pitää runnerit toiminnassa, ja syväpakettitarkastuksen (deep packet inspection) avulla käytäntö voi lisätä salaisuuksia pyyntöjen otsakkeisiin tai ohjata liikenteen välityspalvelimen kautta. Hallintapaneeli ryhmittelee sallitut ja estetyt pyynnöt verkkotunnuksittain, ja jokaisella instanssilla on oma egress-näkymänsä.
• Luotettavuus. Namespacella on SOC 2 Type II, jonka raportti on saatavilla sen Trust Centerissä, ja se tarjoaa enterprise-paketeissa alueellisesti rajatun datan sijainnin.

Namespace julkaisee asiakastuloksia, kuten että DuckDB ajaa CI:nsä "10x nopeammin". Ne ovat Namespacen lukuja kyseisistä asiakkaista.

Missä CRACI eroaa

CRACI pitää buildia totuuden lähteenä sille, mitä toimitat.

Tallenne siitä, mitä buildi haki

Jokaisen jobin aikana paketit tunnistava välityspalvelin tallentaa liikenteen pakettilähteisiin: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteet sekä latausesiasetukset. Riippuvuustiedot kulkevat CI-välimuistien mukana, joten välimuistista palautettu paketti lasketaan silti mukaan. Jokaisen jobin SBOM CycloneDX- tai SPDX-muodossa sisältää kattavuustilan jobi- ja välimuistikohtaisesti. Namespacen egress-lokit kertovat, mihin verkkotunnuksiin runneri otti yhteyttä. CRACI:n tallenne kertoo, mitkä paketit ja versiot buildi niistä haki.

Egress-käytäntö reilusti vertailtuna

CRACI:n käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja niissä on 24 valmista ohjelmistolähteiden esiasetusta, tyypitetyt mukautetut lähteet npm:lle, PyPI:lle, apt:lle, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille sekä Gitille HTTPS:n ja SSH:n yli, sekä eksplisiittiset TLS-, TCP-, UDP- ja ICMP-säännöt. Käytännöt validoidaan ennen jobin alkua, virhetilanteessa liikenne estetään (fail closed), tuntemattomat kentät hylätään, ja rikkomuksesta lähtee hälytys.

Namespace on edellä kahdessa kohdassa. Sen neuvoa-antava tila antaa sinun tarkkailla käytäntöä ennen sen käyttöönottoa, ja CRACI:n valvontatila on vielä tiekartalla. Sen salaisuuksien lisäykselle ja välityspalvelinsäännöille ei ole CRACI:ssa vastinetta. CRACI eroaa siinä, että sen lähteet on tyypitetty pakettiekosysteemin ja protokollan mukaan eikä listattu verkkotunnuksina, ja sama jobi, joka ajetaan käytännön alaisena, tuottaa myös tallenteen hakemistaan paketeista.

Alkuperätiedot ja valvonta

• Alkuperätiedot. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot (provenance). CRACI ei allekirjoita alkuperätietoja eikä väitä saavuttavansa mitään SLSA-tasoa.
• Toimitetun valvonta. Valvottuja SBOM:eja arvioidaan jatkuvasti uudelleen uusia haavoittuvuuksia vasten, ja löydökset kootaan kaikista buildeista ja repositorioista.

Hinta ja koot

Namespace laskuttaa yksikköminuutteina, joissa yksi yksikkö on Linuxilla 1 vCPU ja 2 Gt RAM-muistia yhden minuutin ajan. Syyskuussa 2026 2 vCPU:n ja 4 Gt:n Linux-runneri maksaa $0.002 minuutilta paketin minuuttien sisällä ja $0.003 minuutilta ylityksistä. Team-tilaus maksaa $100 kuukaudessa ja sisältää 100 000 yksikköminuuttia, Business $250 kuukaudessa ja 250 000. Windows kuluttaa minuutteja kaksinkertaisella ja macOS kymmenkertaisella Linux-hinnalla. Käytössä on yhden minuutin vähimmäisveloitus jobia kohden, minkä jälkeen se pyöristetään minuutteihin; Namespacen esimerkissä 150 sekuntia laskutetaan 3 minuuttina.

CRACI laskuttaa $0.002 vCPU-minuutilta, joten 2 vCPU:n runneri 6 Gt:n RAM-muistilla maksaa $0.004 minuutilta, ARM64 samaan hintaan, mitattuna sekunneittain ja ilman kuukausimaksua. Namespacen minuuttikohtainen listahinta on alempi, ja sillä on yhden minuutin vähimmäisveloitus jobia kohden. Sen vakiokokoissa on 2 Gt RAM-muistia vCPU:ta kohden ja CRACI:n kokoissa 3 Gt, joten valitse buildiesi tarvitsema koko ennen vertailua. Voimassa olevat ehdot: CRACI:n hinnoittelu.

Kumpi sopii

Namespace sopii paremmin, kun

• Tarvitset macOS- tai Windows-runnereita. CRACI toimii toistaiseksi vain Linuxilla; Windows ja macOS ovat tiekartalla.
• Haluat kokeilla egress-käytäntöä neuvoa-antavassa tilassa ennen sen käyttöönottoa.
• Olet riippuvainen Bazelin etäsuorituksesta tai välimuistivoluumeista.
• Ajat myös Buildkite-agentteja tai pilvipohjaisia kehitysympäristöjä ja haluat yhden toimittajan.

CRACI sopii paremmin, kun

• Sinun täytyy näyttää, mitä julkaisuun meni, kattavuustilan kanssa, suoraan buildista.
• Haluat toimitettujen SBOM:ien valvonnan yhteen paikkaan.
• Tarvitset näyttöä kyberkestävyyssäädöstä (Cyber Resilience Act) varten.
• Tarvitset datan sijainnin EU:ssa, mikä on saatavilla CRACI:n Enterprise-tilauksessa.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tuntevat tuotteidensa komponentit, käsittelevät niiden haavoittuvuudet ja säilyttävät näytön. Namespacen tuote on nopea CI- ja kehitysinfrastruktuuri. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa: buildin aikana tallennetut SBOM:t CycloneDX- tai SPDX-muodossa, haavoittuvuuksien seurannan ja alkuperätiedot API:n kautta. Katso CRA-näyttö.

Siirtyminen Namespacesta CRACI:iin

Asenna CRACI GitHub App organisaatioosi, joko kaikkiin repositorioihin tai valittuihin, ja vaihda sitten jobin runneritunniste:

runs-on: craci

Siirrä yksi jobi kerrallaan, tarkista sen SBOM ja verkkojälki, ja lue lisää CI/CD-integraatiosta ja buildin aikaisesta SBOM-generoinnista.

Välimuisteista, OIDC-luottamuskäytännöistä, IP-sallittujen listoista ja varajärjestelyistä kerrotaan sivulla GitHub Actions -runnerien tarjoajan vaihtaminen.