CRACI vs Azure Pipelines

La risposta breve

Azure Pipelines è la parte CI/CD di Azure DevOps. Compila e testa su Linux, Windows e macOS, funziona con Azure Repos e GitHub ed esegue il deployment su macchine virtuali, container, destinazioni on-premise e cloud. Se il Suo work tracking, i repository e le release risiedono in Azure DevOps, o se ha bisogno di build Windows e macOS con un unico contratto Microsoft, è una buona scelta.

CRACI copre un ambito più ristretto e lo approfondisce. È un runner per GitHub Actions: durante l'esecuzione di ogni job registra ogni dipendenza esterna scaricata dalla build, applica una policy di egress sulla rete di build e, a partire da quel record, produce SBOM, dati di provenance e monitoraggio delle vulnerabilità. In Azure Pipelines queste evidenze provengono dai task e dagli strumenti che Lei aggiunge a ogni pipeline.

Un punto pratico prima di tutto. Oggi CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Azure Pipelines non è supportato, quindi per girare su CRACI una pipeline va trasformata in un workflow GitHub Actions.

In sintesi

Che cosa fa bene Azure Pipelines

Un'unica piattaforma con Azure DevOps. Le pipeline affiancano work tracking, Azure Repos e Azure Artifacts, così work item, codice, build e pacchetti risiedono in un unico posto. Compila anche codice ospitato su GitHub.

Tutti i sistemi operativi. Gli agent ospitati da Microsoft eseguono Linux, Windows e macOS, e un parallel job esegue uno qualsiasi di essi allo stesso prezzo. Gli agent self-hosted estendono questa possibilità alle Sue macchine, e Azure DevOps Server porta l'intera piattaforma on-premise.

Minuti illimitati per job. Un parallel job a pagamento non ha un limite mensile di minuti, e ogni esecuzione può durare fino a 360 minuti. Un team che tiene i propri job occupati tutto il giorno paga un prezzo fisso, per quanto durino le build.

Deployment integrati. Le pipeline portano le build fino al deployment su macchine virtuali, container, server on-premise e destinazioni cloud.

In che cosa CRACI è diverso

La SBOM viene dalla build

In Azure Pipelines, una SBOM proviene da un task o da uno step di scansione che Lei aggiunge, e che di solito legge manifest e lockfile a posteriori. Spesso le build fanno più di quanto dicano quei file: gli script di installazione scaricano codice, gli script di build effettuano download in fase di build e le cache ripristinano pacchetti che nessun lockfile menziona. CRACI vede quel traffico perché è il runner. Un proxy che riconosce i pacchetti registra ciò che ogni job scarica dalle sorgenti dei pacchetti, tra npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, e le evidenze sulle dipendenze viaggiano con le cache CI. Ogni SBOM CycloneDX o SPDX dichiara quanto è completa, per job e per cache.

Una policy sulla rete di build

Sugli agent ospitati da Microsoft, ciò che una build può raggiungere non è un'impostazione a Sua disposizione; sugli agent self-hosted, è un'infrastruttura di rete che deve realizzare e mantenere in proprio. CRACI applica a ogni job una policy di egress: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate, convalidata prima dell'avvio del job. Le policy operano in modalità fail closed e le violazioni generano un avviso.

Monitorare ciò che è stato rilasciato

L'API restituisce SBOM, tracce di rete e provenance. CRACI aggrega le vulnerabilità di tutte le build e di tutti i repository, continua a rivalutare le SBOM monitorate man mano che compaiono advisory e mostra quali build passate contenevano una dipendenza vulnerabile, così Lei conosce il periodo in cui è stato esposto.

Pagare al minuto, non per parallel job

Azure Pipelines vende parallelismo: ogni build che desidera eseguire contemporaneamente richiede un proprio job ospitato da $40 al mese, in un'unica dimensione da 2 core e 7 GB. Occupato 8 ore in ciascuno di 22 giorni lavorativi, un job costa circa $0.0038 al minuto, poco meno dei $0.004 di CRACI per 2 vCPU. Occupato la metà del tempo, costa circa $0.0076. Le build arrivano a ondate, quindi i job acquistati per l'ora di punta restano inattivi per il resto della giornata.

CRACI addebita solo i minuti di build: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile e senza costi per SBOM. Un job che ha bisogno di più potenza può usare fino a 32 vCPU. Consulti i prezzi dei runner CI per il confronto completo.

Quale scegliere

• Resti su Azure Pipelines se il Suo work tracking, i repository e le release risiedono in Azure DevOps, se ha bisogno di build Windows o macOS, se esegue il deployment dalle stesse pipeline o se i Suoi job sono occupati tutto il giorno.
• Scelga CRACI se il Suo codice è su GitHub o vi si sta spostando, e desidera che ogni build produca un record di ciò che è entrato nella release, con un prezzo per minuto di build.
• Usi entrambi durante una migrazione graduale: la scelta si fa pipeline per pipeline, quindi le build Linux possono passare a GitHub Actions su CRACI mentre le pipeline Windows, macOS e di deployment restano dove sono.

Tenga ben presente a che cosa rinuncia scegliendo CRACI: non esegue il deployment del software, oggi esegue solo job Linux, con Windows e macOS in roadmap, e i runner ospitati dal cliente sono in roadmap per Enterprise.

Per i prodotti regolamentati

Normative come il Cyber Resilience Act dell'UE si aspettano che i fabbricanti sappiano che cosa contiene ogni release e ne gestiscano le vulnerabilità, con obblighi di segnalazione da settembre 2026. In Azure Pipelines, queste evidenze provengono dai task e dagli scanner che Lei collega a ogni pipeline. CRACI le produce dal record della build ed esporta le SBOM in CycloneDX o SPDX. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui un'azienda ha bisogno nel suo più ampio processo CRA; nessuno dei due strumenti rende da solo conforme un prodotto.

Spostare una pipeline su CRACI

GitHub Actions Importer, lo strumento di GitHub, converte le pipeline Azure DevOps in workflow GitHub Actions. GitHub punta a convertire automaticamente l'80% di ogni workflow e afferma che ogni workflow convertito va esaminato prima di essere eseguito in produzione, quindi metta in conto un po' di lavoro manuale. Una volta che una pipeline gira come workflow GitHub Actions, gira su CRACI con una sola riga:

runs-on: craci

Le esecuzioni continuano a comparire nell'interfaccia di GitHub. Scopra di più sulla generazione di SBOM in fase di build, veda le alternative ad Azure Pipelines, confronti le piattaforme CI/CD o consulti i prezzi.