Runner europei per GitHub Actions

Che cosa cambia un runner europeo, e che cosa no

Una pipeline GitHub Actions ha più livelli, e ciascuno può trovarsi in un luogo diverso. Un runner CI è solo uno di essi: la macchina su cui viene eseguito il job. Ecco chi gestisce ogni livello, e dove, in tre configurazioni comuni.

Livello	Runner ospitati da GitHub su github.com	GitHub Enterprise Cloud con residenza dei dati nell'UE	Runner CRACI
Archiviazione di repository e codice sorgente	GitHub; github.com archivia i dati negli Stati Uniti per impostazione predefinita	GitHub, nella regione UE	GitHub, come nella Sua configurazione attuale. CRACI elabora il codice nella macchina virtuale del job e non lo archivia
Orchestrazione, esecuzioni dei workflow, log, interfaccia dei check	GitHub	GitHub; dati e log di Actions archiviati nella regione UE	GitHub, come nella Sua configurazione attuale
Archiviazione dei secret	GitHub	GitHub	GitHub; consegnati al runner CRACI all'avvio del job
Esecuzione della build	Runner ospitati da GitHub su Microsoft Azure e, per alcuni job Linux standard, su AWS; regioni non indicate	Runner ospitati in regioni Azure dell'UE, tramite il networking privato di Azure	Runner CRACI su infrastruttura bare metal europea
Registro di ciò che la build ha scaricato	Non registrato	Non registrato	SBOM e tracce di rete, conservate da CRACI, ospitate in Europa
Artefatti da actions/upload-artifact	GitHub	GitHub; dati di Actions archiviati nella regione UE	GitHub, come nella Sua configurazione attuale
Chi lo gestisce	GitHub, un'azienda Microsoft	GitHub, un'azienda Microsoft	GitHub per il control plane; CRACI Corporation Oy, un'azienda finlandese, per il runner

In parole semplici: con CRACI, la capacità di calcolo che vede il Suo codice e i Suoi secret durante la build si trova in Europa ed è gestita da un'azienda europea, così come il registro di ogni pacchetto che la build ha incluso. GitHub continua a custodire il codice e a orchestrare il job. CRACI sostituisce il runner, non GitHub Actions.

La residenza dei dati non è sovranità digitale

La residenza dei dati riguarda dove i dati vengono archiviati ed elaborati. La sovranità digitale aggiunge altre due domande: chi controlla i dati e quale legge si applica a quel soggetto, compresa la giurisdizione che può obbligare il gestore a consegnare i dati. Un data center europeo gestito da un'azienda extraeuropea Le offre la residenza, non la sovranità digitale. Quali giurisdizioni contino nel Suo caso è una domanda per il Suo consulente legale, non per un fornitore di runner.

Una regola decisionale che regge a un audit: elenchi ogni livello della tabella qui sopra, annoti chi lo gestisce e dove viene eseguito, e lo confronti con il Suo requisito. Se il requisito riguarda solo dove vengono eseguite le build e dove risiedono i dati di build, un runner europeo può soddisfarlo. Se riguarda il control plane o l'archiviazione del codice, un runner da solo non basta.

Le Sue opzioni in Europa

Opzione	Che cosa gira in Europa	Chi lo gestisce	Limiti
GitHub Enterprise Cloud con residenza dei dati (GHE.com)	Codice e dati di Actions nella regione UE; runner ospitati in regioni Azure dell'UE tramite il networking privato di Azure (x64 in France Central e Sweden Central, arm64 in France Central)	GitHub	Solo Enterprise Cloud; un'enterprise GHE.com separata
CRACI	Runner Linux gestiti su infrastruttura bare metal europea, con evidenze di build incluse	CRACI Corporation Oy, un'azienda europea	Oggi solo GitHub Actions e Linux
Ubicloud	Runner GitHub Actions nelle sue regioni europee, in Germania e Finlandia	Ubicloud, con sedi a San Francisco, Amstelveen e Istanbul	Runner Ubuntu
Avrea	Avrea cita provider di hosting tra cui Aiven, Google Cloud e OVHcloud, e chiede ai clienti di discutere con lei i requisiti sulla localizzazione dei dati	Avrea, fondata a Helsinki	La localizzazione dei dati si concorda con Avrea, non è pubblicata per regione
Blacksmith	Macchine ad Amsterdam e Francoforte oltre che negli Stati Uniti; un'organizzazione può chiedere di essere spostata in un'altra regione	Blacksmith, con il control plane su AWS	Una sede europea, non un gestore europeo
Runner self-hosted su un cloud europeo	I Suoi runner sui server di un provider europeo, con Actions Runner Controller o semplici macchine virtuali	Lei	Aggiornamenti, isolamento e scalabilità sono a Suo carico
Un'altra piattaforma CI con hosting europeo	Tutto, control plane compreso: GitLab self-managed o un'istanza Forgejo o Gitea	Lei o il Suo partner di hosting	Una migrazione della CI, non un cambio di runner

Per il dettaglio uno a uno, veda CRACI vs Ubicloud, CRACI vs Avrea e CRACI vs Blacksmith, e per il quadro più ampio, i provider di runner GitHub Actions a confronto. Se sta valutando di gestire runner propri, veda runner gestiti e self-hosted a confronto.

Che cosa esegue CRACI in Europa

• Runner gestiti, ospitati in Europa. Le build vengono eseguite su infrastruttura bare metal europea, gestita da CRACI Corporation Oy. CRACI offre oggi runner gestiti; i runner ospitati dal cliente sono in roadmap.
• Residenza dei dati nell'UE con Enterprise. Il piano Enterprise include la residenza dei dati nell'UE, insieme a conservazione personalizzata e SAML SSO.
• Isolamento. Ogni job viene eseguito nella propria macchina virtuale isolata.
• Che cosa conserva CRACI, e che cosa no. CRACI elabora il Suo codice sorgente nella macchina virtuale del job e non lo archivia. Conserva metadati di build, dati sui pacchetti, tracce di rete, SBOM, provenance, cache e record di audit. Le cache contengono ciò che il Suo workflow vi salva.
• Un intervallo di IP di egress stabile, per le allowlist che la Sua build raggiunge.
• Certificazione. Il sistema di gestione della sicurezza delle informazioni di CRACI Corporation Oy, per lo sviluppo e la gestione della piattaforma CRACI, è certificato ISO/IEC 27001 da Into Certification. CRACI è conforme al GDPR.

Per i dettagli necessari alla Sua revisione di sicurezza, veda la sicurezza, il Trust Center e che cosa può raggiungere CRACI.

Perché vale la pena spostare il livello di build

Anche quando GitHub resta, il runner è il primo livello che conviene spostare. È lì che il Suo codice viene compilato in presenza dei Suoi secret, ed è lì che i pacchetti di terze parti entrano nel Suo prodotto. Eseguirlo su infrastruttura europea mantiene quell'esecuzione, e il registro di ogni pacchetto scaricato, su un'infrastruttura gestita da un'azienda europea anziché sulla capacità di calcolo di un hyperscaler statunitense.

Quel registro è anche un'evidenza. CRACI registra le dipendenze di ogni job come SBOM con uno stato di completezza, sotto una policy di egress in modalità fail-closed, e continua a monitorarle per individuare nuove vulnerabilità. La normativa europea, come il Cyber Resilience Act, chiede sempre più spesso ai produttori proprio questo tipo di registro.

Il passaggio è un cambio di etichetta: runs-on: craci. CRACI esegue le build circa due volte più velocemente dei runner ospitati da GitHub, grazie a hardware più veloce, tempi in coda più brevi e caching, e addebita solo i minuti di build: $0.002 per minuto vCPU ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile. Veda i runner di CRACI, i prezzi e come cambiare provider di runner.

Quando CRACI non è la risposta

• Il Suo requisito riguarda il control plane o l'archiviazione del codice. Un runner europeo non basta. Le serve GitLab self-managed o una forge self-hosted in Europa; veda le alternative a GitLab. Oggi CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap.
• I runner devono girare sul Suo hardware o nel Suo tenant cloud. I runner CRACI ospitati dal cliente sono in roadmap, non disponibili oggi.
• Le servono build macOS o Windows in Europa. CRACI esegue oggi Linux su x86-64 e ARM64, con Windows e macOS in roadmap.
• Le serve il prezzo al minuto più basso. Altre opzioni europee hanno listini più bassi.

Runner GitHub Actions europei: domande frequenti

Le build di GitHub Actions possono essere eseguite nell'UE?

Sì. La build viene eseguita dove si trova il runner, quindi un runner su infrastruttura europea esegue la Sua build in Europa. Può ottenerne uno da un provider gestito come CRACI, da GitHub Enterprise Cloud con residenza dei dati, che può collocare i runner ospitati in regioni Azure dell'UE, oppure eseguendo runner self-hosted su un cloud europeo.

Esiste un provider europeo di runner GitHub Actions?

Sì. CRACI è un'azienda europea, e i suoi runner gestiti per GitHub Actions girano su infrastruttura bare metal europea. Anche altri provider hanno macchine in Europa; verifichi sia dove si trovano le macchine sia quale azienda le gestisce.

Se il mio runner è nell'UE, la mia CI gode di sovranità digitale?

Non di per sé. Un runner europeo sposta l'esecuzione della build e il registro di ciò che la build ha scaricato. GitHub continua ad archiviare il codice, i secret, i log e gli artefatti, e orchestra ogni job. Per togliere GitHub dal quadro serve un'altra piattaforma CI con hosting europeo.

Quali dati restano su GitHub quando uso un runner europeo?

Il repository, i file di workflow, l'archivio dei secret, le esecuzioni dei workflow e i log, l'interfaccia dei check e gli artefatti caricati con actions/upload-artifact. Il runner riceve il codice e i secret del job mentre il job è in esecuzione. CRACI elabora il Suo codice nella macchina virtuale del job e non lo archivia.

GitHub offre la residenza dei dati nell'UE per Actions?

Con GitHub Enterprise Cloud con residenza dei dati, ospitato su GHE.com, può scegliere una regione UE, e GitHub vi archivia i repository, i dati e i log di Actions. I suoi runner ospitati possono girare in regioni Azure dell'UE tramite il networking privato di Azure. Il gestore resta GitHub, e l'offerta è riservata ai clienti Enterprise Cloud.

Qual è la differenza tra residenza dei dati nell'UE e sovranità digitale?

La residenza dei dati riguarda dove i dati vengono archiviati ed elaborati. La sovranità digitale aggiunge chi controlla i dati e quale legge si applica a quel soggetto. Un data center europeo gestito da un'azienda extraeuropea Le offre la residenza, non la sovranità digitale. Elenchi ogni livello della Sua pipeline, chi lo gestisce e dove, e lo confronti con il Suo requisito.