CRACI vs Azure Pipelines

En bref

Azure Pipelines est la partie CI/CD d'Azure DevOps. Il construit et teste sur Linux, Windows et macOS, fonctionne avec Azure Repos et GitHub, et déploie sur des machines virtuelles, des conteneurs, des cibles on-premises et cloud. Si votre suivi du travail, vos dépôts et vos releases se trouvent dans Azure DevOps, ou si vous avez besoin de builds Windows et macOS dans le cadre d'un seul contrat Microsoft, il convient bien.

CRACI couvre un périmètre plus étroit, mais va plus loin. C'est un runner pour GitHub Actions : pendant l'exécution de chaque job, il enregistre chaque dépendance externe que le build récupère, applique une politique de trafic sortant au réseau du build, et produit à partir de cet enregistrement des SBOM, des données de provenance et une surveillance des vulnérabilités. Dans Azure Pipelines, ces preuves proviennent des tâches et des outils que vous ajoutez à chaque pipeline.

Un point pratique d'abord. CRACI ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap. Azure Pipelines n'est pas pris en charge : un pipeline doit donc passer en workflow GitHub Actions pour s'exécuter sur CRACI.

En un coup d'œil

Ce qu'Azure Pipelines fait bien

Une seule plateforme avec Azure DevOps. Les pipelines côtoient le suivi du travail, Azure Repos et Azure Artifacts : work items, code, builds et paquets se trouvent au même endroit. Il construit aussi le code hébergé sur GitHub.

Tous les systèmes d'exploitation. Les agents hébergés par Microsoft exécutent Linux, Windows et macOS, et un job parallèle exécute n'importe lequel d'entre eux au même prix. Les agents auto-hébergés étendent cela à vos propres machines, et Azure DevOps Server apporte toute la plateforme on-premises.

Des minutes illimitées par job. Un job parallèle payant n'a pas de limite mensuelle de minutes, chaque exécution pouvant durer jusqu'à 360 minutes. Une équipe qui occupe ses jobs toute la journée paie un prix forfaitaire, quelle que soit la durée des builds.

Les déploiements intégrés. Les pipelines mènent les builds jusqu'au déploiement sur des machines virtuelles, des conteneurs, des serveurs on-premises et des cibles cloud.

Ce qui distingue CRACI

La SBOM provient du build

Dans Azure Pipelines, une SBOM provient d'une tâche ou d'une étape de scan que vous ajoutez, qui lit généralement les manifestes et les lockfiles après coup. Les builds font souvent plus que ce que disent ces fichiers : des scripts d'installation téléchargent du code, des scripts de build récupèrent des éléments au moment du build, et des caches restaurent des paquets qu'aucun lockfile ne mentionne. CRACI voit ce trafic parce qu'il est le runner. Un proxy qui comprend les paquets enregistre ce que chaque job récupère depuis les sources de paquets, pour npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et les sources Git, et les preuves de dépendances suivent les caches CI. Chaque SBOM CycloneDX ou SPDX indique son niveau de complétude, par job et par cache.

Une politique sur le réseau du build

Sur les agents hébergés par Microsoft, ce qu'un build peut atteindre ne dépend pas de vous ; sur les agents auto-hébergés, c'est une infrastructure réseau que vous construisez et maintenez. CRACI applique une politique de trafic sortant à chaque job : refus par défaut ou autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées, validée avant le démarrage du job. Les politiques bloquent tout en cas d'échec, et les violations déclenchent une alerte.

Surveiller ce qui a été livré

L'API renvoie les SBOM, les traces réseau et la provenance. CRACI agrège les vulnérabilités de l'ensemble des builds et des dépôts, continue de réévaluer les SBOM surveillées à mesure que paraissent des avis de sécurité, et montre quels builds passés contenaient une dépendance vulnérable : vous connaissez ainsi la période pendant laquelle vous étiez concerné.

Payer à la minute, pas au job parallèle

Azure Pipelines vend de la simultanéité : chaque build que vous voulez exécuter en même temps qu'un autre nécessite son propre job hébergé à $40 par mois, dans une taille unique de 2 cœurs et 7 Go. Occupé 8 heures sur chacun des 22 jours ouvrés, un job revient à environ $0.0038 la minute, un peu moins que les $0.004 de CRACI pour 2 vCPU. Occupé la moitié de ce temps, il revient à environ $0.0076. Les builds arrivent par vagues : les jobs achetés pour l'heure la plus chargée restent inactifs le reste de la journée.

CRACI ne facture que les minutes de build : $0.002 par minute vCPU ($0.004 pour un runner 2 vCPU par défaut), décompté à la seconde, sans abonnement mensuel ni frais par SBOM. Un job qui a besoin de plus de puissance peut utiliser jusqu'à 32 vCPU. Consultez les tarifs des runners CI pour la comparaison complète.

Lequel choisir

• Restez sur Azure Pipelines si votre suivi du travail, vos dépôts et vos releases se trouvent dans Azure DevOps, si vous avez besoin de builds Windows ou macOS, si vous déployez depuis les mêmes pipelines, ou si vos jobs sont occupés toute la journée.
• Choisissez CRACI si votre code est sur GitHub ou en cours de migration, et si vous voulez que chaque build produise un enregistrement de ce qui est entré dans la release, facturé à la minute de build.
• Utilisez les deux pendant une migration progressive : le choix se fait pipeline par pipeline, si bien que les builds Linux peuvent passer à GitHub Actions sur CRACI tandis que les pipelines Windows, macOS et de déploiement restent en place.

Soyez clair sur ce à quoi vous renoncez en choisissant CRACI. Il ne déploie pas de logiciels, il n'exécute que des jobs Linux aujourd'hui, avec Windows et macOS sur la roadmap, et les runners hébergés chez le client figurent sur la roadmap pour Enterprise.

Pour les produits réglementés

Des cadres comme le Cyber Resilience Act de l'UE attendent des fabricants qu'ils sachent ce que contient chaque release et qu'ils en traitent les vulnérabilités, avec des obligations de signalement dès septembre 2026. Dans Azure Pipelines, ces preuves proviennent des tâches et des scanners que vous branchez sur chaque pipeline. CRACI les produit à partir de l'enregistrement du build et exporte les SBOM en CycloneDX ou SPDX. Il automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont une entreprise a besoin pour sa démarche CRA plus large ; aucun des deux outils ne rend un produit conforme à lui seul.

Passer un pipeline sur CRACI

GitHub Actions Importer, l'outil de GitHub, convertit les pipelines Azure DevOps en workflows GitHub Actions. GitHub vise une conversion automatique de 80 % de chaque workflow et recommande d'inspecter chaque workflow converti avant de l'exécuter en production : prévoyez donc un peu de travail manuel. Une fois qu'un pipeline tourne comme workflow GitHub Actions, il s'exécute sur CRACI avec une seule ligne :

runs-on: craci

Les exécutions apparaissent toujours dans l'interface GitHub. En savoir plus sur la génération de SBOM au build, voir les alternatives à Azure Pipelines, comparer les plateformes CI/CD ou consulter les tarifs.