CRACI e JFrog Artifactory

Due punti di osservazione sulla stessa supply chain

Molte organizzazioni di engineering instradano il traffico dei pacchetti attraverso JFrog Artifactory. Un repository remoto funge da proxy con cache per un registry pubblico come npm o PyPI, scaricando i pacchetti su richiesta e conservandone una copia. I repository virtuali combinano più sorgenti dietro un unico URL. I Suoi output di build risiedono in repository locali. Questo Le offre un unico punto in cui vedere e governare ciò che entra in azienda.

CRACI si colloca altrove. È il runner CI su cui girano i Suoi job GitHub Actions e, durante l'esecuzione di ogni job, registra le dipendenze esterne scaricate dal job. Artifactory risponde a "che cosa è passato nei nostri repository?" CRACI risponde a "che cosa ha usato questa specifica build e quale artefatto ne è uscito?"

Che cosa fa bene Artifactory

Artifactory è un repository manager maturo. Offre ai team un accesso affidabile e in cache ai pacchetti upstream, una sede per gli artefatti interni e un unico punto di controllo per molti tipi di pacchetto. Attorno a esso, la JFrog Platform aggiunge altro:

• Build-info. Con la JFrog CLI, Lei aggiunge un nome e un numero di build ai Suoi comandi e pubblica una registrazione JSON delle dipendenze risolte, degli artefatti prodotti, delle variabili d'ambiente e dei dettagli Git. Quella registrazione supporta la tracciabilità, la promozione delle build e la scansione con Xray.
• Xray. Scansiona artefatti e build alla ricerca di vulnerabilità ed esporta SBOM in SPDX e CycloneDX. La matrice delle licenze di JFrog indica Xray come incluso negli abbonamenti Pro X, Enterprise X ed Enterprise+ (a settembre 2026).
• Curation. Blocca i pacchetti malevoli o vulnerabili sul repository remoto prima che raggiungano gli sviluppatori, compresi i pacchetti già presenti nella cache remota.

Il blocco a livello di pacchetto sul registry è un vero punto di forza. Oggi CRACI non blocca i singoli pacchetti; le blocklist di pacchetti a livello di organizzazione sono nella roadmap di CRACI.

Che cosa aggiunge CRACI

Visibilità che non dipende dall'instradamento

Artifactory vede ciò che viene instradato attraverso di esso. Le build non sempre collaborano. Un job può scaricare una toolchain da una release GitHub, installare pacchetti del sistema operativo, scaricare un'immagine base da un registry pubblico o eseguire uno script che scarica un binario. La stessa documentazione di JFrog osserva che le dipendenze scaricate da altri strumenti possono essere registrate a mano con build-add-dependencies, il che significa che qualcuno deve conoscerle.

CRACI registra sul runner. Un proxy che riconosce i pacchetti osserva il traffico verso le sorgenti dei pacchetti durante il job, per npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Se le Sue installazioni npm o PyPI passano da un mirror Artifactory, funziona: CRACI registra anche quei pacchetti.

Evidenze per build senza step aggiuntivi

Build-info è preziosa, ma va aggiunta a ogni pipeline. Su CRACI, la registrazione esiste per ogni job perché la produce il runner. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache viene conteggiato. Ogni SBOM riporta uno stato di completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Quando una registrazione ha una lacuna, lo dichiara.

Tenere le build sul percorso approvato

Poiché CRACI esegue il job, Lei può impostare la sua policy di egress di rete. Le policy sono a negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate (npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git) e regole esplicite TLS, TCP, UDP e ICMP. Vengono validate prima dell'avvio del job e operano in modalità fail closed. Una policy che autorizza il Suo host Artifactory e nega l'accesso diretto ai registry pubblici aiuta a garantire che le build usino davvero il percorso governato. CRACI La avvisa quando un job viola la sua policy.

Evidenze di build accanto ad Artifactory

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. Archivi l'artefatto in Artifactory come fa oggi; la registrazione di ciò che la build ha scaricato proviene da CRACI.

Per i team alle prese con il Cyber Resilience Act dell'UE, quella registrazione alimenta le evidenze a livello di release. CRACI aggrega le vulnerabilità tra build e repository, rivaluta di continuo le SBOM monitorate e le esporta in CycloneDX o SPDX. Veda le evidenze per il CRA e la conformità al CRA.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei può vedere quali prodotti eseguono la versione interessata, invece di ricostruirlo da note di rilascio e fogli di calcolo.

Come si integrano

1. Mantenga Artifactory come proxy dei pacchetti, archivio degli artefatti e punto di distribuzione delle release.
2. Sposti i job GitHub Actions su CRACI cambiando runs-on in craci. I workflow restano invariati e le esecuzioni continuano a comparire nell'interfaccia di GitHub.
3. Indirizzi le installazioni npm e PyPI verso i Suoi mirror Artifactory come fa oggi.
4. Usi una policy di egress di CRACI per mantenere le build su sorgenti approvate, Artifactory compreso.
5. Usi la SBOM per build, la provenance e la traccia di rete di CRACI come evidenze per ogni release.

Se oggi si affida a JFrog build-info o Curation, li tenga. Oggi CRACI supporta solo GitHub Actions (GitLab CI e Jenkins sono in roadmap), quindi le pipeline su altri sistemi CI restano dove sono.

Se invece sta sostituendo Artifactory, veda le alternative a JFrog Artifactory.

Domande comuni

CRACI sostituisce Artifactory?

No. CRACI non è un repository manager. Non archivia i Suoi pacchetti o binari di release e non li distribuisce. Esegue le Sue build e ne registra le evidenze.

CRACI si sovrappone a Xray?

In parte. Entrambi esportano SBOM in CycloneDX e SPDX ed entrambi aiutano a tracciare le vulnerabilità. La differenza è l'input. Xray scansiona gli artefatti e le build di cui JFrog è a conoscenza. La SBOM e la vista delle vulnerabilità di CRACI provengono da ciò che ogni build ha scaricato durante l'esecuzione, tra build e repository. Se Xray è integrato nel Suo processo di release, lo tenga e consideri la registrazione per build di CRACI una seconda fonte indipendente.

Quali tipi di repository Artifactory funzionano con CRACI?

È confermato che i mirror npm e PyPI di Artifactory funzionano con le build CRACI. Per altri tipi di pacchetto, ci parli della Sua configurazione prima di spostare quelle pipeline.