Eurooppalaiset runnerit GitHub Actionsille

Mitä eurooppalainen runneri muuttaa ja mitä ei

GitHub Actions -putkessa on kerroksia, ja kukin niistä voi sijaita eri paikassa. CI-runneri on niistä vain yksi: kone, jolla jobi suoritetaan. Tässä näet, kuka operoi kutakin kerrosta ja missä, kolmessa yleisessä kokoonpanossa.

Kerros	GitHubin ylläpitämät runnerit github.comissa	GitHub Enterprise Cloud EU-tietojen sijainnilla	CRACI-runnerit
Repositorion ja lähdekoodin säilytys	GitHub; github.com säilyttää tiedot oletuksena Yhdysvalloissa	GitHub, EU-alueella	GitHub, kuten nykyisessä kokoonpanossasi. CRACI käsittelee koodia jobin virtuaalikoneessa eikä tallenna sitä
Orkestrointi, työnkulkujen ajot, lokit, checkien käyttöliittymä	GitHub	GitHub; Actionsin tiedot ja lokit säilytetään EU-alueella	GitHub, kuten nykyisessä kokoonpanossasi
Salaisuuksien säilytys	GitHub	GitHub	GitHub; toimitetaan CRACI-runnerille jobin käynnistyessä
Buildin suoritus	GitHubin ylläpitämät runnerit Microsoft Azuressa ja joidenkin tavallisten Linux-jobien osalta AWS:ssä; alueita ei nimetä	Ylläpidetyt runnerit EU:n Azure-alueilla Azuren yksityisverkon kautta	CRACI-runnerit eurooppalaisella bare metal -infrastruktuurilla
Tallenne siitä, mitä buildi haki	Ei tallenneta	Ei tallenneta	SBOM:t ja verkkojäljet, CRACI:n säilyttäminä, hostattuna Euroopassa
Artefaktit actions/upload-artifact-actionista	GitHub	GitHub; Actionsin tiedot säilytetään EU-alueella	GitHub, kuten nykyisessä kokoonpanossasi
Kuka operoi	GitHub, Microsoftin yritys	GitHub, Microsoftin yritys	GitHub ohjaustason osalta; CRACI Corporation Oy, suomalainen yritys, runnerin osalta

Selkokielellä: CRACI:lla laskenta, joka näkee koodisi ja salaisuutesi buildin aikana, toimii Euroopassa ja on eurooppalaisen yrityksen operoimaa, ja samoin on tallenne jokaisesta paketista, jonka buildi toi mukanaan. GitHub säilyttää edelleen koodin ja orkestroi jobin. CRACI korvaa runnerin, ei GitHub Actionsia.

Tietojen sijainti ei ole suvereniteettia

Tietojen sijainti (data residency) koskee sitä, missä tietoja säilytetään ja käsitellään. Suvereniteetti lisää kaksi kysymystä: kuka tietoja hallitsee ja mitä lakia siihen osapuoleen sovelletaan, mukaan lukien se, minkä lainkäyttöalueen viranomainen voi velvoittaa operaattorin luovuttamaan tietoja. Euroopan ulkopuolisen yrityksen operoima eurooppalainen datakeskus antaa sinulle tietojen sijainnin, ei suvereniteettia. Se, mitkä lainkäyttöalueet ovat merkityksellisiä sinun tapauksessasi, on kysymys lakimiehellesi, ei runnerien toimittajalle.

Päätössääntö, joka kestää auditoinnin: listaa jokainen yllä olevan taulukon kerros, kirjaa, kuka sitä operoi ja missä se toimii, ja vertaa sitä vaatimukseesi. Jos vaatimus koskee vain sitä, missä buildit suoritetaan ja missä build-tiedot sijaitsevat, eurooppalainen runneri voi täyttää sen. Jos se koskee ohjaustasoa tai koodin säilytystä, pelkkä runneri ei riitä.

Vaihtoehtosi Euroopassa

Vaihtoehto	Mitä toimii Euroopassa	Kuka operoi	Rajoitukset
GitHub Enterprise Cloud tietojen sijaintivaatimuksin (GHE.com)	Koodi ja Actionsin tiedot EU-alueella; ylläpidetyt runnerit EU:n Azure-alueilla Azuren yksityisverkon kautta (x64 France Centralissa ja Sweden Centralissa, arm64 France Centralissa)	GitHub	Vain Enterprise Cloud; erillinen GHE.com-enterprise
CRACI	Hallinnoidut Linux-runnerit eurooppalaisella bare metal -infrastruktuurilla, build-näyttö mukana	CRACI Corporation Oy, eurooppalainen yritys	Nyt vain GitHub Actions ja Linux
Ubicloud	GitHub Actions -runnerit sen eurooppalaisilla alueilla Saksassa ja Suomessa	Ubicloud, toimistot San Franciscossa, Amstelveenissä ja Istanbulissa	Ubuntu-runnerit
Avrea	Avrea nimeää hostauskumppaneikseen muun muassa Aivenin, Google Cloudin ja OVHcloudin ja pyytää asiakkaita keskustelemaan tietojen sijaintivaatimuksista kanssaan	Avrea, perustettu Helsingissä	Tietojen sijainnista sovitaan Avrean kanssa, sitä ei julkaista alueittain
Blacksmith	Koneita Amsterdamissa ja Frankfurtissa sekä Yhdysvalloissa; organisaatio voi pyytää siirtoa toiselle alueelle	Blacksmith, ohjaustaso AWS:ssä	Eurooppalainen sijainti, ei eurooppalainen operaattori
Itse ylläpidetyt runnerit eurooppalaisessa pilvessä	Omat runnerisi eurooppalaisen palveluntarjoajan palvelimilla Actions Runner Controllerilla tai tavallisilla virtuaalikoneilla	Sinä	Sinä paikkaat, eristät ja skaalaat ne
Toinen CI-alusta eurooppalaisella hostauksella	Kaikki, ohjaustaso mukaan lukien: itse ylläpidetty GitLab tai Forgejo- tai Gitea-instanssi	Sinä tai hostauskumppanisi	CI-migraatio, ei runnerin vaihto

Tarkemmat vertailut löydät sivuilta CRACI vs. Ubicloud, CRACI vs. Avrea ja CRACI vs. Blacksmith, ja laajemman kuvan sivulta GitHub Actions -runnerien tarjoajat vertailussa. Jos harkitset omien runnerien ajamista, katso hallinnoidut vs. itse ylläpidetyt runnerit.

Mitä CRACI ajaa Euroopassa

• Hallinnoidut runnerit, hostattuna Euroopassa. Buildit ajetaan eurooppalaisella bare metal -infrastruktuurilla, jota operoi CRACI Corporation Oy. CRACI tarjoaa nyt hallinnoituja runnereita; asiakkaan omissa ympäristöissä toimivat runnerit ovat tiekartalla.
• EU-tietojen sijainti Enterprisessa. Enterprise-tilaukseen kuuluu EU-tietojen sijainti sekä mukautettu säilytysaika ja SAML SSO.
• Eristys. Jokainen jobi ajetaan omassa eristetyssä virtuaalikoneessaan.
• Mitä CRACI säilyttää ja mitä ei. CRACI käsittelee lähdekoodiasi jobin virtuaalikoneessa eikä tallenna sitä. Se säilyttää build-metatiedot, pakettitiedot, verkkojäljet, SBOM:t, alkuperätiedot, välimuistit ja audit-lokit. Välimuisteissa on se, mitä työnkulkusi niihin tallentaa.
• Vakaa lähtevän liikenteen IP-alue niitä sallittujen listoja varten, joihin buildisi ottaa yhteyttä.
• Sertifiointi. CRACI Corporation Oy:n tietoturvallisuuden hallintajärjestelmä CRACI-alustan kehitykselle ja operoinnille on Into Certificationin ISO/IEC 27001 -sertifioima. CRACI on GDPR-yhteensopiva.

Tietoturvakatselmointisi tarvitsemat yksityiskohdat löydät sivuilta tietoturva, Trust Center ja mihin CRACI pääsee käsiksi.

Miksi build-kerros kannattaa siirtää

Vaikka GitHub pysyy, runneri on kerros, joka kannattaa siirtää ensimmäisenä. Siellä koodisi käännetään salaisuuksiesi ollessa läsnä, ja siellä kolmansien osapuolten paketit päätyvät tuotteeseesi. Kun ajat sen eurooppalaisella infrastruktuurilla, tämä suoritus ja tallenne jokaisesta sen hakemasta paketista pysyvät eurooppalaisen yrityksen operoimalla infrastruktuurilla eivätkä yhdysvaltalaisen hyperskaalaajan laskentakapasiteetilla.

Tallenne on myös näyttöä. CRACI tallentaa kunkin jobin riippuvuudet SBOM:ksi kattavuustiloineen egress-käytännön alaisena, joka toimii fail closed -periaatteella, ja seuraa niitä jatkuvasti uusien haavoittuvuuksien varalta. Eurooppalainen sääntely, kuten EU:n kyberkestävyyssäädös (Cyber Resilience Act), edellyttää valmistajilta yhä useammin juuri tällaista tallennetta.

Siirto on labelin vaihto: runs-on: craci. CRACI ajaa buildit noin kaksi kertaa nopeammin kuin GitHubin ylläpitämät runnerit nopeamman laitteiston, lyhyempien jonotusaikojen ja välimuistien ansiosta ja laskuttaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletusarvoiselta 2 vCPU:n runnerilta), mitataan sekunneittain, ilman kuukausimaksua. Katso CRACI:n runnerit, hinnoittelu ja miten runnerien tarjoaja vaihdetaan.

Milloin CRACI ei ole oikea vastaus

• Vaatimuksesi koskee ohjaustasoa tai koodin säilytystä. Eurooppalainen runneri ei riitä. Tarvitset itse ylläpidetyn GitLabin tai itse hostatun koodialustan Euroopassa; katso vaihtoehdot GitLabille. CRACI tukee tällä hetkellä vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla.
• Runnerien on toimittava omalla laitteistollasi tai omassa pilviympäristössäsi. Asiakkaan omissa ympäristöissä toimivat CRACI-runnerit ovat tiekartalla, eivät saatavilla nyt.
• Tarvitset macOS- tai Windows-buildeja Euroopassa. CRACI ajaa nyt Linuxia x86-64- ja ARM64-arkkitehtuureilla, ja Windows ja macOS ovat tiekartalla.
• Tarvitset alimman minuuttihinnan. Muiden eurooppalaisten vaihtoehtojen listahinnat ovat alempia.

Eurooppalaiset GitHub Actions -runnerit: usein kysytyt kysymykset

Voiko GitHub Actions -buildeja ajaa EU:ssa?

Kyllä. Buildi ajetaan siellä, missä runneri on, joten eurooppalaisella infrastruktuurilla toimiva runneri ajaa buildisi Euroopassa. Sellaisen saat hallinnoidulta palveluntarjoajalta, kuten CRACI:lta, GitHub Enterprise Cloudista tietojen sijaintivaatimuksin (data residency), jolloin ylläpidetyt runnerit voidaan sijoittaa EU:n Azure-alueille, tai ajamalla itse ylläpidettyjä runnereita eurooppalaisessa pilvessä.

Onko olemassa eurooppalaista GitHub Actions -runnerien tarjoajaa?

Kyllä. CRACI on eurooppalainen yritys, ja sen hallinnoidut GitHub Actions -runnerit toimivat eurooppalaisella bare metal -infrastruktuurilla. Myös muilla tarjoajilla on koneita Euroopassa; tarkista sekä se, missä koneet ovat, että se, mikä yritys niitä operoi.

Jos runnerini on EU:ssa, onko CI:ni suvereeni?

Ei pelkästään sen ansiosta. Eurooppalainen runneri siirtää buildin suorituksen ja tallenteen siitä, mitä buildi haki. GitHub säilyttää edelleen koodin, salaisuudet, lokit ja artefaktit ja orkestroi jokaisen jobin. Jos haluat GitHubin kokonaan pois kuvasta, tarvitset toisen CI-alustan eurooppalaisella hostauksella.

Mitkä tiedot jäävät GitHubiin, kun käytän eurooppalaista runneria?

Repositorio, työnkulkutiedostot, salaisuuksien säilö, työnkulkujen ajot ja lokit, checkien käyttöliittymä sekä actions/upload-artifactilla ladatut artefaktit. Runneri saa koodin ja jobin salaisuudet jobin ajon ajaksi. CRACI käsittelee koodiasi jobin virtuaalikoneessa eikä tallenna sitä.

Tarjoaako GitHub Actionsille EU-tietojen sijainnin?

GHE.com-palvelussa toimivassa GitHub Enterprise Cloudissa tietojen sijaintivaatimuksin voit valita EU-alueen, ja GitHub tallentaa repositoriot sekä Actionsin tiedot ja lokit sinne. Sen ylläpitämät runnerit voivat toimia EU:n Azure-alueilla Azuren yksityisverkon kautta. Operaattori on edelleen GitHub, ja tarjous on vain Enterprise Cloud -asiakkaille.

Mitä eroa on EU-tietojen sijainnilla ja suvereniteetilla?

Tietojen sijainti koskee sitä, missä tietoja säilytetään ja käsitellään. Suvereniteetti lisää kysymyksen siitä, kuka tietoja hallitsee ja mitä lakia siihen osapuoleen sovelletaan. Euroopan ulkopuolisen yrityksen operoima eurooppalainen datakeskus antaa sinulle tietojen sijainnin, ei suvereniteettia. Listaa CI/CD-putkesi jokainen kerros, kuka sitä operoi ja missä, ja vertaa sitä vaatimukseesi.