CI、CD、ビルドセキュリティのためのHarness代替ツール

CRACIは当社の製品であることを踏まえてお読みください。各選択肢はそれぞれのドキュメントに基づいて説明し、他のツールの方が適している場合はそう明記します。CRACIは現在GitHub Actionsで動作し、GitLab CIとJenkinsはロードマップに掲載されています。

チームがHarness以外を検討する理由

2017年に設立され、サンフランシスコに拠点を置くHarnessは、ソフトウェアデリバリープラットフォームを販売しています。継続的インテグレーション、継続的デリバリー、GitOps、フィーチャーフラグ、Infrastructure as Code、カオスエンジニアリング、クラウドコスト管理、セキュリティテストを提供し、それらすべてにOPAポリシーを適用できます。Supply Chain SecurityモジュールはSBOMを生成し、SLSAの来歴に署名し、リポジトリとパイプラインをポスチャのベンチマークに照らしてチェックします。コードを書いた後のすべてを1つのベンダーに任せたいチームにとっては、その幅広さこそが価値です。

トレードオフが変わると、チームは別の選択肢を検討します。

• 料金。HarnessはCloudマシンの料金を公開していますが、有料プランとSupply Chain Securityモジュールの料金は営業経由で提示されます。
• 範囲。ビルドとテストだけが必要なチームでも、はるかに多くの用途向けに作られたプラットフォームの費用を払い、習得し、運用することになります。
• 依存関係のエビデンス。SBOMステップはイメージやリポジトリに対してSyftまたはcdxgenを実行するため、SBOMに記載されるのはビルドが取得したものではなく、スキャナーが出力から推測したものです。
• 集約。コードとエンジニアリングチームの他のメンバーは、すでにGitHub上にいます。

選定のポイント

• 置き換えるのがCIか、CDか、その両方か。そして両方を1つのベンダーで揃えることが今も重要か。
• ホスト型のビルド、自社マシンでのビルド、またはその両方か。必要なオペレーティングシステムは何か。
• ビルドのエビデンス：ビルドが取得したものから記録されたSBOM、来歴、脆弱性の監視。
• エグレス制御があるか。それがジョブに対するポリシーなのか、事後の検知なのか。
• 営業に問い合わせる前に確認できる料金。

CIプラットフォーム

1. CRACIとGitHub Actions（当社製品）

CRACIはGitHub Actions向けのセキュアランナーです。各ジョブの実行中に、パッケージを認識するプロキシが取得されたものをCIキャッシュから復元されたパッケージも含めて記録し、ジョブごと・キャッシュごとの完全性の状態を付けたCycloneDXまたはSPDXのSBOMを生成します。エグレスポリシーはジョブの開始前に検証されてフェイルクローズで動作し、ポリシーゲートは検出結果、特定のCVE、ライセンスに応じてビルドをブロックできます。監視対象のSBOMはアドバイザリが公開されるたびに再評価され、ビルド履歴から脆弱な依存関係を含んでいた過去のビルドが分かります。CRACIが課金するのはビルド時間のみで、1vCPU分あたり$0.002（デフォルトの2vCPUランナーでは$0.004）を秒単位で計測し、月額料金もSBOMごとの課金もありません。

最適なケース：GitHubを利用していて、SBOM、ネットワークポリシー、来歴をビルドを実行したランナーから得たいチーム。

検討のポイント：パイプラインをGitHub Actionsのワークフローに移行できること。CRACIが対象とするのはビルドであり、デプロイやフィーチャーフラグは対象外です。現在はLinuxジョブを実行でき、Windows、macOS、顧客ホスト型ランナーはロードマップに掲載されています。

CRACIとHarnessの比較

2. GitHub Actions

GitHubに組み込まれたCI/CDで、Linux、Windows、macOSのホスト型ランナーと、自社マシン用のセルフホストランナーを備えています。プランには月2,000〜50,000分が含まれ、標準的な2コアのLinuxランナーは2026年9月時点で1分あたり$0.006です。周辺には依存関係グラフ、Dependabot、アーティファクト構成証明（attestations）があります。

最適な用途： すでにGitHub上にあるコード。

検討すべきケース： あらゆるOSでホスト型ランナーを使いたい場合。エクスポートされるSBOMはビルドではなくリポジトリを記述したものです。

CI/CDプラットフォームの比較

3. GitLab CI

包括的なDevSecOpsプラットフォームの一部で、ソース管理、マージリクエスト、プランニング、CI/CDを1つの製品で提供し、ホスト型とセルフマネージド型があります。基本的なSAST、シークレット検出、コンテナスキャンは全ティアで利用でき、Ultimateでは依存関係スキャンと脆弱性レポートが加わります。2026年9月時点で、Freeには400コンピュート分が含まれ、Premiumは年間請求で1ユーザーあたり月$29です。

最適な用途： セルフマネージド環境を含め、ライフサイクル全体を1社のベンダーでまかなうこと。

検討すべきケース： ソース管理も移行するつもりがある場合。

CRACIとGitLab CIの比較

4. CircleCI

GitHub、GitLab、Bitbucketと連携する成熟したホスト型CI/CDプラットフォームです。Docker、Linux、Arm、Windows、macOS、GPUのリソースクラスでジョブを実行でき、自社マシン用のセルフホストランナーも利用できます。Dockerレイヤーキャッシュは全プランで利用でき、テスト分割によってテストスイートを並列のエグゼキューターに分散できます。2026年9月時点で、Freeプランには月30,000クレジットが含まれます。

最適な用途： ソース管理を移行せずに、複数のプラットフォームと大規模なテストスイートを扱うこと。

検討すべきケース： SBOMとスキャンをorb経由で追加することに抵抗がない場合。

CRACIとCircleCIの比較

5. Buildkite

ハイブリッド型のプラットフォームです。BuildkiteのSaaSコントロールプレーンがオーケストレーションを担い、ジョブを実行するエージェントは自社のインフラ上に置かれるため、ソースコードとシークレットは自社環境にとどまります。GitHub、GitLab、Bitbucketなどと連携します。ホスト型エージェントも利用でき、2026年9月時点でLinuxは1vCPU分あたり$0.004です。署名付きパイプラインにより、アップロード後に改変されたジョブをエージェントが拒否できます。

最適な用途： プラットフォーム全体を運用せずに、自社ハードウェア上で実行する必要があるビルド。

検討すべきケース： エージェント上のビルドセキュリティを自社で設計する準備がある場合。

CRACIとBuildkiteの比較

6. Azure Pipelines

Azure DevOpsのCI/CD部分です。Linux、macOS、Windowsでビルドでき、Azure ReposおよびGitHubと連携し、仮想マシン、コンテナ、オンプレミス、クラウドの各ターゲットにデプロイします。2026年9月時点で、月1,800分付きのMicrosoftホスト型並列ジョブ1つが無料で、追加のホスト型ジョブは1つにつき月$40です。セルフホスト型ジョブは1つが無料で、追加分は1つにつき$15です。

最適な用途： すでにAzureとMicrosoftのツールを使っているチーム。

Azure Pipelinesの代替ツール

7. Jenkins

MITライセンスのオープンソース自動化サーバーで、数百のプラグインがあります。コントローラーとエージェントは自社でホストし、アップグレードとセキュリティ対策も自社で行います。プラグインを通じて大半のソース管理システムと連携します。

最適な用途： 運用する人員がいる場合の、自社インフラ上での完全なコントロール。

Jenkinsの代替ツール

Harness CDを置き換える場合

Harnessのデリバリー側には、それ専用の代替ツールがあります。これらのツールはデプロイを担い、上記のどのCIプラットフォームとも組み合わせられます。CRACIはソフトウェアのデプロイは行いません。

Argo CD

Kubernetes向けの宣言型GitOps継続的デリバリーツールで、Apache-2.0ライセンスのオープンソースです。Kustomize、Helm、Jsonnet、プレーンなYAMLでGitに記述された状態にクラスターを保ち、複数のクラスターを管理してデプロイできます。

最適なケース：商用プラットフォームを使わずにGitOpsデリバリーを行いたいKubernetesチーム。

Octopus Deploy

ビルドサーバーと並行して動作するデプロイとランブックの自動化ツールで、Octopus Cloudとしてのホスト型、またはOctopus Serverとしてのセルフホスト型で提供されます。2026年10月時点で、どちらにも10プロジェクト、10マシン、10ユーザーの無料プランがあり、ProfessionalはCloudで年$4,330から、Serverで年$2,080からです（年額請求）。

最適なケース：Kubernetes以外も含めた環境のプロモーションとデプロイを、公開された料金で行いたい場合。

一覧で比較

「記載なし」は、ベンダーの公開ページで確認できなかったことを意味します。

Harnessを使い続けるべきケース

• CI、CD、フィーチャーフラグ、コスト管理を1つのベンダーと1つのポリシーエンジンで揃えることが、個々の機能よりも重要な場合。
• コードがGitLab、Bitbucket、Azure Reposのいずれか、または複数にまたがって管理されている場合。
• WindowsやmacOSのビルド、または自社のKubernetesクラスター、VM、ベアメタルでのビルドが必要な場合。
• SLSA Build Level 3が文書化された署名付きの来歴が、調達要件になっている場合。

CI/CD連携、ビルド時のSBOM生成、料金の詳細もご覧ください。

Harnessの代替ツールに関するよくあるご質問

比較検討時にチームからよく寄せられる質問への簡潔な回答

Harnessの主な代替ツールは何ですか？

デリバリープラットフォーム全体として最も近いのはGitLabで、ソース管理、CI/CD、セキュリティスキャンを1つの製品で提供します。CIだけであれば、GitHub Actions、CircleCI、Buildkite、Azure Pipelines、Jenkinsがあります。デプロイだけであれば、Argo CDとOctopus Deployがあります。

Harnessは無料ですか？

一部は無料です。2026年10月時点で、FreeプランにはCI向けに月2,000のHarness Cloudクレジットが含まれ（繰り越し不可）、2コアのLinuxマシンは1分あたり$0.005です。有料プランとSupply Chain Securityモジュールの料金は営業経由で提示されます。

Harness CIを置き換えて、CDツールは別に残せますか？

はい。多くのチームが両者を分けています。GitHub Actions、CircleCI、BuildkiteなどのCIプラットフォームでビルドとテストを行い、Argo CDやOctopus Deployなどのデリバリーツールでデプロイします。その代わり、両方にまたがる単一のベンダーと単一のポリシーエンジンは失われます。

Harnessのオープンソースの代替ツールはありますか？

Jenkinsは、自社でホストする無料のMITライセンスの自動化サーバーです。Argo CDは、Kubernetes向けのApache-2.0ライセンスのGitOpsデリバリーツールです。この2つでCIとCDをカバーでき、両方の運用、アップグレード、セキュリティ確保は自社で行います。

CRACIはHarnessと連携しますか？

いいえ。CRACIはGitHub Actions向けのセキュアランナーで、各ジョブが取得したものをSBOMとして記録し、ビルドネットワークにエグレスポリシーを適用します。現在対応しているのはGitHub Actionsで、GitLab CIとJenkinsはロードマップに掲載されています。そのため、Harness CIのパイプラインはGitHub Actionsのワークフローに移行することになります。