CRACI vs. RunsOn

Lyhyt vastaus

RunsOn on itse ylläpidetyt GitHub Actions -runnerit ilman runnerikannan ylläpitotyötä. Yksi CloudFormation-pino tai Terraform-moduuli ottaa sen käyttöön AWS-tililläsi; sen jälkeen jokainen jobi saa uuden EC2-instanssin mistä tahansa valitsemastasi tyypistä, ja AWS laskuttaa laskennan omakustannushintaan. Jos haluat runnerit omalle pilvitilillesi ja mahdollisimman pienen laskentalaskun, etenkin spot-instansseilla, RunsOnia on vaikea voittaa.

CRACI on CI, joka hoitaa toimitusketjun tietoturvan natiivisti. Se on hallinnoitu, GitHub Actions -yhteensopiva runneri, ja tietoturva on osa runneria eikä siihen lisätty työkalu: CRACI tallentaa jokaisen ulkoisen riippuvuuden, jonka buildi haki, valvoo buildin verkon egress-käytäntöä ja muuttaa tallenteen SBOM:eiksi, haavoittuvuuksien seurannaksi ja näytöksi. Molemmat tuotteet korvaavat runnerin, jolla jobisi ajetaan, joten valitset toisen.

Yhdellä silmäyksellä

Missä RunsOn on hyvä

Sinun tilisi, sinun datasi. Ohjaustaso, runnerien virtuaalikoneet, S3-välimuisti ja lokit ovat kaikki AWS-tililläsi, ja RunsOnin omat tietovirrat rajoittuvat lisenssin validointiin, telemetriaan ja tukeen. Tiimeille, joiden tietoturvakatselmointi pysähtyy kohtaan "kolmas osapuoli ajaa koodiamme ja salaisuuksiamme", RunsOn on tehty antamaan juuri tämä vastaus. CRACI-runnerit ovat tällä hetkellä hallinnoituja; asiakkaan ylläpitämät runnerit ovat sen Enterprise-tiekartalla.

Mikä tahansa instanssi, yksi jobia kohden. runs-on-tunniste valitsee koneen, joten jobi voi pyytää suuren laskentaan optimoidun instanssin, GPU:n, paikallisen NVMe-tallennuksen tai Windowsin. Jokainen jobi saa uuden EC2-instanssin, joka tuhotaan jobin päättyessä, ja RunsOnin mukaan jobit käynnistyvät tyypillisesti noin 30 sekunnissa tai lämpimillä pooleilla alle 6 sekunnissa.

Kustannukset. RunsOn ei lisää katetta AWS:n laskentaan ja veloittaa kiinteän lisenssin alkaen noin $348 (€300) vuodessa. Sen mukaan tulos on 7–12 kertaa edullisempi kuin GitHubin ylläpitämät runnerit. Spot-instanssit, joilla on automaattinen varajärjestely on-demand-instansseihin, pienentävät laskua entisestään. Luvut ovat RunsOnin omia; instanssivalikoimasi ja alueesi ratkaisevat todellisen luvun.

Välimuisti ja havainnointi. VPC:ssäsi oleva S3-pohjainen välimuisti korvaa GitHubin välimuistin ilman sen kokokattoa, Docker-kerrosten välimuisti on sisäänrakennettu, ja EBS-sticky diskit ja jaetut EFS-taltiot säilyttävät tilan jobien välillä. Jobikohtaiset mittarit ja kustannusraportit menevät CloudWatchiin ja OpenTelemetryyn.

Tietoturvalisäosat. Integraatio StepSecurity Harden-Runneriin lisää lähtevän liikenteen seurannan ja suodatuksen sekä lähdekoodin peukaloinnin havaitsemisen buildin aikana StepSecurityn enterprise-lisenssillä.

Hinta ja mitoitus

Pelkän laskennan osalta RunsOn spot-instansseilla maksaa murto-osan CRACI:n hinnasta $0.004 per 2 vCPU:n minuutti. Vertailu ei kuitenkaan koske vain minuuttihintaa. RunsOnilla maksat myös lisenssin ja runnerien ympärillä olevat AWS-palvelut, kuten NAT-yhdyskäytävät kiinteille IP-osoitteille, ja tiimisi omistaa pinon: päivitykset, AWS-kiintiöt ja häiriöt. CRACI:lla on yksi minuuttihinta, joka mitataan sekunneittain, ei kuukausimaksua, ja CRACI ylläpitää infrastruktuurin. Katso ajantasaiset ehdot sivulta CRACI:n hinnoittelu ja laajempi vertailu sivulta hallinnoidut vs. itse ylläpidetyt runnerit.

Nopeudessa CRACI ajaa buildit noin kaksi kertaa nopeammin kuin GitHubin ylläpitämät runnerit nopeamman laitteiston, lyhyempien jonotusaikojen ja välimuistin ansiosta. RunsOnin nopeus riippuu valitsemastasi instanssityypistä. Emme ole verranneet näitä kahta toisiinsa suorituskykytestillä.

Missä CRACI eroaa

Tallenne siitä, mitä buildi haki

Jokaisen jobin ajon aikana paketit tunnistava välityspalvelin tallentaa liikenteen pakettilähteisiin: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteet sekä latausesiasetukset. Riippuvuustiedot kulkevat CI-välimuistien mukana, joten välimuistista palautetut paketit lasketaan silti mukaan. Tähän kuuluvat myös piilotetut riippuvuudet, joita mikään lukitustiedosto ei luettele, kuten asennushookkien tai build-skriptien lataama koodi ja peruskuvien kerrokset. Jokainen jobi tuottaa CycloneDX- tai SPDX-muotoisen SBOM:n, jossa on kattavuustila jokaiselle jobille ja välimuistille.

Hallinta siihen, mihin buildi voi ottaa yhteyttä

Security groupit päättävät, mihin verkkoihin RunsOn-runneri voi ottaa yhteyttä; ne eivät tiedä, mitä pakettirekisteriä jobin on tarkoitus käyttää. CRACI:n egress-käytäntö tietää: oletuksena estävä tai salliva, 24 valmista ohjelmistolähteiden esiasetusta, tyypitetyt mukautetut lähteet npm:lle, PyPI:lle, aptille, apkille, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille HTTPS:n ja SSH:n yli sekä eksplisiittiset TLS-, TCP-, UDP- ja ICMP-säännöt. Käytännöt validoidaan ennen jobin alkua, ne estävät liikenteen virhetilanteessa (fail closed) ja lähettävät hälytyksen rikkomuksesta. Koska käytäntö sallii vain sen, mitä buildi tarvitsee, se estää tietojen vuotamisen isäntiin, joita buildi ei tarvitse, myös hyökkäyksessä, jota kukaan ei ole ennen nähnyt.

Harden-Runner RunsOnissa menee yhdessä kohdassa pidemmälle: se valvoo myös lähdetiedostojen muuttamista buildin aikana, mitä CRACI ei tee.

Alkuperätiedot ja seuranta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja eikä väitä mitään SLSA-tasoa. Se kokoaa haavoittuvuudet buildien ja repositorioiden yli ja arvioi seurattuja SBOM:eja jatkuvasti uudelleen.

Kaksi eri tietoturvakysymystä

RunsOn vastaa kysymykseen "kuka säilyttää koodini, salaisuuteni ja runnerien tilan?" pitämällä kaiken AWS-tililläsi. CRACI vastaa eri kysymykseen: "mitä tämä buildi haki, ja mihin se otti yhteyttä?" CRACI ajaa jokaisen jobin omassa eristetyssä virtuaalikoneessaan, ei tallenna lähdekoodiasi ja on ISO 27001 -sertifioitu. Jälkimmäistä vastausta auditoija, asiakas tai EU:n kyberkestävyyssäädös (Cyber Resilience Act) pyytää sinulta.

Varaa demo ja näe SBOM, verkkojälki ja alkuperätiedot yhdestä omasta työnkulustasi.

Kumpi sopii

RunsOn sopii paremmin, kun

• Runnerien on toimittava omalla AWS-tililläsi VPC-resurssiesi vieressä.
• Pienin laskentakustannus on tärkeintä, ja pinon ylläpito AWS:ssä on sinulle tuttua.
• Tarvitset Windows-runnereita, GPU-instansseja tai tiettyjä EC2-instanssityyppejä jo tänään.
• Projektisi ovat ei-kaupallisia, ja RunsOn kattaa ne ilmaiseksi.

CRACI sopii paremmin, kun

• Toimitat ohjelmistoja, joista sinun on osoitettava, mitä kuhunkin julkaisuun meni, suoraan buildista.
• Haluat rajoittaa, mihin buildit voivat ottaa yhteyttä, käytännöllä, joka estää liikenteen virhetilanteessa eikä vaadi lisälisenssiä.
• Tarvitset toimitetun ohjelmiston seurantaa lisäämättä työkaluja jokaiseen työnkulkuun.
• Et halua ylläpitää CI-infrastruktuuria ja haluat buildit eurooppalaiselle infrastruktuurille.

Mistä luovut CRACI:n kanssa. Runnereista omalla AWS-tililläsi, jotka ovat Enterprise-tiekartalla, Windows-runnereista, jotka ovat myös tiekartalla, sekä pienimmästä laskentalaskusta. Saat buildin tallenteen, jota tietoturva ja compliance voivat käyttää ilman uutta skanneria CI/CD-putkessa, infrastruktuurilla, jota sinun ei tarvitse ylläpitää.

EU:n kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tietävät, mitä kuhunkin julkaisuun sisältyy, ja käsittelevät sen haavoittuvuudet. Raportointivelvoitteet alkavat syyskuussa 2026 ja täysi soveltaminen joulukuussa 2027. Itse ylläpidetty runneri ei tuota tätä näyttöä itsestään; joutuisit lisäämään SBOM- ja skannaustyökaluja työnkulkuihisi. CRACI tuottaa sen buildin tallenteesta ja vie SBOM:t CycloneDX- tai SPDX-muodossa. Se automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, joita yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa.

Siirtyminen RunsOnista

CRACI korvaa runnerin, ei GitHub Actionsia. Työnkulut ja GitHubin käyttöliittymä pysyvät samoina, ja jobin tunnisteeksi tulee runs-on: craci. Jobit saavat Docker Enginen, Buildxin ja Compose v2:n, GitHub-yhteensopivan Ubuntu 24.04 -levykuvan ja sisäkkäisen virtualisoinnin x86-64:llä. Lue lisää CI/CD-integraatiosta ja buildin aikaisesta SBOM-generoinnista. Startupit voivat hakea startup-ohjelmaan.

Välimuisteista, OIDC-luottamuskäytännöistä, IP-sallittujen listoista ja varajärjestelyistä kerrotaan sivulla GitHub Actions -runnerin tarjoajan vaihtaminen.

RunsOn vs. CRACI: yleiset kysymykset

Hinnoittelu, ylläpito, alustat ja tietoturva toimittajien julkaisemien tietojen perusteella

Mikä RunsOn on?

RunsOn on itse ylläpidetyt GitHub Actions -runnerit tuotteeksi paketoituna. Otat käyttöön yhden CloudFormation-pinon tai Terraform-moduulin omalla AWS-tililläsi, ja RunsOn käynnistää uuden EC2-instanssin jokaiselle jobille ja lopettaa sen, kun jobi päättyy. Runnerit, välimuistit, lokit ja tunnukset pysyvät AWS-tililläsi. Sen perusti vuonna 2023 Cyril Rohr, joka asuu Rennesissä Ranskassa.

Paljonko RunsOn maksaa?

Syyskuussa 2026 RunsOn veloittaa kiinteän vuosilisenssin oikeushenkilöä kohden: Starter alkaen noin $348 (€300) vuodessa, Growth noin $1,044 (€900), Scale noin $2,088 (€1,800) ja Enterprise noin $4,176 (€3,600) sen mukaan, montako runneria käynnistät kuukaudessa. AWS laskuttaa laskennan suoraan sekunneittain ilman RunsOnin katetta. RunsOn listaa 2 vCPU:n x64-spot-instanssin hinnaksi us-east-1:ssä noin $0.0009 minuutilta. Se on ilmainen ei-kaupalliseen käyttöön, ja siinä on 15 päivän kokeilu.

Onko RunsOn CRACI:a edullisempi?

Laskennan osalta kyllä, ja spot-instansseilla selvästi. CRACI veloittaa $0.004 per 2 vCPU:n minuutti, kun taas 2 vCPU:n spot-instanssi RunsOnin kautta maksaa us-east-1:ssä noin $0.0009 minuutilta sekä lisenssin. Kokonaisuuteen kuuluvat myös AWS-verkko ja -tallennustila sekä pinon ylläpitoon kuluva aika. CRACI lisää runneriin buildin tallenteen: SBOM:n jokaisesta jobista, egress-käytännön, alkuperätiedot ja haavoittuvuuksien seurannan.

Generoiko RunsOn SBOM:eja tai buildin alkuperätietoja?

Ei sen dokumentoiduissa ominaisuuksissa. RunsOn keskittyy laskentaan, välimuistiin, kustannuksiin ja havainnointiin AWS-tililläsi. CRACI tallentaa jokaisen jobin hakemat paketit, myös välimuisteista palautetut, ja tuottaa CycloneDX- tai SPDX-muotoisen SBOM:n kattavuustilan kanssa. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Voiko RunsOn rajoittaa, mihin buildi voi verkossa ottaa yhteyttä?

RunsOn-runnerit ovat VPC:ssäsi, joten AWS:n security groupit ja reititys pätevät, ja kiinteät lähtevät IP-osoitteet tulevat NAT-yhdyskäytävistä. Jobin sisäistä lähtevän liikenteen suodatusta varten RunsOn integroi StepSecurity Harden-Runnerin, joka muodostaa perustason jokaisen jobin lähtevästä liikenteestä ja voi panna sen täytäntöön sallittujen listana; RunsOnissa se vaatii StepSecurityn enterprise-lisenssin. CRACI valvoo egress-käytäntöä itse runnerilla: oletuksena estävä tai salliva, 24 valmista ohjelmistolähteiden esiasetusta, validoidaan ennen jobin alkua ja estää liikenteen virhetilanteessa (fail closed).

Voinko ajaa CRACI:a omalla AWS-tililläni?

Et tänään. CRACI-runnerit ovat hallinnoituja eurooppalaisella infrastruktuurilla, ja asiakkaan ylläpitämät runnerit ovat Enterprise-tilauksen tiekartalla. Jos runnerien on ehdottomasti oltava omalla AWS-tililläsi, RunsOn on tehty juuri siihen.

Tukeeko CRACI Windows- tai macOS-runnereita?

CRACI ajaa tällä hetkellä Linuxia x86-64:llä ja ARM64:llä, ja Windows ja macOS ovat tiekartalla. RunsOn tarjoaa Windows Server 2022:n ja 2025:n sekä GPU-instansseja; myös RunsOnilla macOS-jobit jäävät GitHubin ylläpitämille runnereille.

Pitääkö GitHub Actions -työnkulut kirjoittaa uudelleen vaihdon yhteydessä?

Ei. Molemmat tuotteet korvaavat runnerin, eivät GitHub Actionsia. Työnkulut, laukaisimet ja GitHubin käyttöliittymä pysyvät samoina; CRACI:lla jobin tunnisteeksi tulee runs-on: craci.