CRACIとAvreaの比較

結論

Avreaは、CRACIと同じヘルシンキ発のGitHub Actions向けホスト型ランナーサービスで、速度とCIの内部の可視化を重視して作られています。Linux、Windows、macOSのランナー、自動依存関係キャッシュ、ログ検索、ランタイムメトリクス、フレーキーテストの検出、実行中のジョブへのSSH接続を提供します。パイプラインを高速化し、遅い原因を把握することが目的なら、Avreaの可観測性はCRACIよりも充実しており、現時点でWindowsとmacOSにも対応しています。

CRACIは、サプライチェーンセキュリティをネイティブに扱うCIです。Avreaもセキュリティ機能を追加しています。Enterpriseプランのエグレスファイアウォールと、プレビュー版のリポジトリSBOMです。違いは、エビデンスの出どころにあります。CRACIは、ビルドが実際に取得したすべての外部依存関係を記録し、フェイルクローズで動作するエグレスポリシーを適用し、出荷したものを新たな脆弱性について監視し続けます。どちらの製品もジョブを実行するランナーを置き換えるため、選ぶのはどちらか一方です。

一覧比較

Avreaが優れている点

CIの可観測性。AvreaはエージェントなしですべてのジョブのCPU、メモリ、ネットワークのメトリクスを収集し、すべてのジョブとリポジトリをまたいでログを検索し、フレーキーテストと本当の失敗を区別し、キャッシュヒット率、遅いワークフロー、支出の推移を表示します。実行中のジョブへのSSH接続はターミナルとWebコンソールのどちらからでも可能で、ジョブ終了後にも猶予期間があります。これらはすべて全プランに含まれています。

速度とキャッシュ。Avreaのランナーは、高クロックとローカルNVMeストレージを備えた専用ハードウェア上で動作し、初回ビルド後は依存関係がランナーの近くに自動でキャッシュされます。Avreaは、自社のランナーはハードウェアだけで約2倍、キャッシュヒット時には最大10倍速いとしています。これらはAvreaが示す数字であり、本当の試金石はお客様自身のパイプラインです。

プラットフォームの対応範囲。Avreaは、x86-64で1〜32 vCPUのUbuntu、Apple M5 Maxハードウェア上のLinux ARM64とmacOS 26、そしてWindows 2025を提供しています。CRACIは現時点ではLinuxのみで、WindowsとmacOSはロードマップに掲載されています。Avreaは現在GitHub Actionsに対応し、GitLabなど他のプラットフォームの追加を計画しているとしています。CRACIでは、GitLab CIとJenkinsがロードマップに掲載されています。

サービスのセキュリティとエグレスファイアウォール。ジョブは使い捨てのVMで実行され、キャッシュはリポジトリごとに分離・暗号化されています。AvreaはISO 27001:2022認証を取得し、SOC 2 Type 2の保証報告書を受けています。Enterpriseプランに掲載されているエグレスファイアウォールは、ドメイン、CIDR、プロトコル、ポートで宛先を許可または拒否し、IPとDNSの両方で適用され、各実行について接続先とブロックされたものをまとめたサマリーを提供します。

料金とサイズ

x86-64では定価は同じで、2 vCPU 1分あたり$0.004、32 vCPUで$0.064です。メモリはAvreaのランナーの方が多く、1 vCPUあたり4 GBに対してCRACIは3 GBです。Avreaはメモリの少ないx86-64ランナー（1 vCPUあたり2 GB）も販売しており、4 vCPU・8 GBは1分あたり$0.006、8 vCPU・16 GBは$0.012と、同じサイズのCRACIの$0.008と$0.016を下回ります。ARM64では状況が逆転します。AvreaのARM64ランナーはApple M5 Maxハードウェア上で2 vCPU 1分あたり$0.012と、CRACIのARM64料金の3倍です。CRACIはx86-64と同じ$0.004です。どちらも実行時間を秒単位で計測するため、短いジョブはどちらでも実行した秒数分だけ請求されます。最新の条件はCRACIの料金をご覧ください。

CRACIの違い

リポジトリが宣言するものではなく、ビルドが取得したもののSBOM

AvreaのSBOMは、コードを実行せずにデフォルトブランチ上の依存関係マニフェストとロックファイルを読み取り、本番用の依存関係を一覧化します。これはリポジトリが宣言しているものの有用なインベントリです。CRACIのSBOMはビルドそのものから得られます。各ジョブの実行中、パッケージを認識するプロキシが、npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースとダウンロードプリセットといったパッケージソースへの通信を記録します。キャッシュから復元されたパッケージや、インストールフックやビルドスクリプトがダウンロードするコード、ベースイメージのレイヤーなど、どのロックファイルにも記載されない隠れた依存関係も含まれます。すべてのジョブが、完全性の状態を備えたCycloneDXまたはSPDXのSBOMを生成します。

これが重要なのは、ビルドはデフォルトでは再現可能ではないからです。同じコミットを2回ビルドすると、異なるパッケージが取り込まれることがあります。リリースに何が含まれているかを示せるのは、そのリリースを生成したビルドから得たSBOMだけです。

エグレスポリシーの公平な比較

どちらの製品も、ビルドを許可リストに限定し、それ以外をすべて拒否できます。可視性ではAvreaが先行しています。実行ごとのサマリーに、主な接続先、送信バイト数、拒否したDNSルックアップが示されます。CRACIのポリシーは、パッケージエコシステムとプロトコルごとにソースを型付けし、24種類の組み込みソフトウェアソースプリセットと、npm、PyPI、apt、apk、Goプロキシ、Nix、Cargo、OCIレジストリ、HTTPSとSSH経由のGitに対応したカスタムソースを備えています。ジョブの開始前に検証され、フェイルクローズで動作し、違反時にはアラートを送信します。さらに、ポリシーの下で実行される同じジョブが、取得したパッケージの記録も生成します。

来歴と監視

APIはSBOM、ネットワークトレース、来歴を返します。CRACIはビルドやリポジトリをまたいで脆弱性を集約し、監視対象のSBOMを継続的に再評価し、過去のどのビルドに脆弱な依存関係が含まれていたかを示します。

デモを予約して、お客様自身のワークフローのSBOM、ネットワークトレース、来歴をご確認ください。

どちらが適しているか

Avreaが適しているケース

• パイプラインの高速化と、遅いジョブ、フレーキーテスト、キャッシュの挙動の把握が主な目的である。
• macOSやWindowsのランナーが今すぐ必要である。
• 毎月3,000分の無料枠がほしい。x86-64では、両者の1分あたりの定価は同じです。
• ランナーのベンダーにSOC 2を求めている。

CRACIが適しているケース

• 各リリースに何が含まれたかを、ビルドそのものから示す必要があるソフトウェアを出荷している。
• パッケージソースごとに型付けされ、ジョブの開始前に検証され、フェイルクローズで動作するエグレスポリシーがほしい。
• 出荷したものを新たな脆弱性について監視する必要がある。
• ビルドをARM64で実行しており、CRACIの料金がAvreaの3分の1になる。

CRACIで諦めるもの。AvreaのCI分析とデバッグツール、WindowsとmacOSのランナー（CRACIのロードマップに掲載）、そして毎月3,000分の無料枠です。得られるのは、パイプラインに別のスキャナーを追加しなくてもセキュリティとコンプライアンスに活用できるビルドの記録です。

Cyber Resilience Actへの対応

EUのCyber Resilience Actは、製造業者に対し、各リリースに何が含まれているかを把握し、その脆弱性に対処することを求めています。報告義務は2026年9月から、全面適用は2027年12月からです。リポジトリから得た依存関係のインベントリは出発点になります。CRACIはリリースを生成したビルドからSBOMを生成し、新たな脆弱性について監視し、脆弱性情報を含めてCycloneDXまたはSPDXでエクスポートします。企業がより広範なCRAコンプライアンスのプロセスに必要とするソフトウェアサプライチェーンの可視性とエビデンスの、かなりの部分を自動化します。

Avreaからの移行

CRACIが置き換えるのはランナーであり、GitHub Actionsではありません。ワークフローとGitHubのUIはそのままで、ジョブのラベルがruns-on: craciになります。ジョブではDocker Engine、Buildx、Compose v2、GitHub互換のUbuntu 24.04イメージ、x86-64でのネステッド仮想化を利用できます。詳しくはCI/CD連携とビルド時のSBOM生成をご覧ください。スタートアップはスタートアッププログラムにお申し込みいただけます。

AvreaとCRACIに関するよくあるご質問

料金、速度、SBOM、エグレス制御について、各ベンダーの公開情報に基づいてお答えします

Avreaとは何ですか？

Avreaは、GitHub Actions向けのホスト型ランナーサービスです。Aivenの共同創業者であるHannu Valtonen氏と、Nostoの共同創業者であるJuha Valvanne氏がヘルシンキで開発しました。ランナーのラベルを変更するだけで、ジョブがAvreaの使い捨てVM上で、自動キャッシュ、ログ検索、ランタイムメトリクス、SSHデバッグとともに実行されます。Avreaは2026年5月に、Earlybirdが主導する470万ドルのプレシード資金を得てサービスを開始しました。

Avreaの料金はいくらですか？

2026年11月時点で、Avreaは月額料金なしでランナーの利用時間（分）単位で課金しています。2 vCPU x86-64ランナーは1分あたり$0.004、Apple M5 Max上の2 vCPU ARM64は$0.012、2 vCPU Windowsは$0.008、8 vCPU macOSは$0.08です。すべての組織に、毎月2 vCPUで3,000分の無料枠があります。固定IPは1 IPあたり月額$100で、エグレスファイアウォールはEnterpriseプランに掲載されています。

AvreaはCRACIより安いですか？

アーキテクチャによります。2 vCPU x86-64ではどちらも1分あたり$0.004で、Avreaのランナーの方がメモリが多くなっています。4 vCPUと8 vCPUでは、Avreaはメモリの少ないx86-64ランナー（1 vCPUあたり2 GB）も販売しており、CRACIより安価です。2 vCPU ARM64ではCRACIの方が安く、x86-64と同じ$0.004で、Avreaの$0.012の3分の1の価格です。どちらも実行時間を秒単位で計測します。Avreaには毎月3,000分の無料枠もありますが、CRACIには無料枠がない代わりにスタートアッププログラムがあります。

AvreaはCRACIより速いですか？

Avreaは、自社のランナーはハードウェアだけで約2倍、キャッシュヒット時には最大10倍速いとしています。CRACIは高速なハードウェア、短いキュー待ち時間、キャッシュにより、GitHubホステッドランナーの約2倍の速さでビルドを実行します。両者を直接比較するベンチマークは実施していないため、同じワークフローを両方で実行して比べてみてください。

AvreaにもSBOMが加わりました。CRACIとは何が違いますか？

Avreaは、デフォルトブランチ上の依存関係マニフェストとロックファイルを静的に解析し、本番用の依存関係のみを対象に、リポジトリのSBOMをCycloneDXとSPDXで生成します。これはリポジトリが宣言しているものを記述したものです。CRACIは、ビルドの実行中に実際に取得したものを記録します。キャッシュから復元されたパッケージや、インストールフックやビルドスクリプトがダウンロードするコード、ベースイメージのレイヤーなど、どのロックファイルにも記載されない隠れた依存関係も含まれます。CRACIの各SBOMには完全性の状態が付与され、監視対象のSBOMは新たな脆弱性が現れるたびに再評価されます。

どちらにもエグレスファイアウォールがあります。違いは何ですか？

どちらも、許可した宛先にだけビルドがアクセスできるようにし、デフォルト拒否にも設定できます。Avreaのルールはドメイン、CIDR、プロトコル、ポートで照合し、IPとDNSの両方で適用され、各ビルドがどこに接続したかを実行ごとにまとめたサマリーが付きます。これはEnterpriseプランに掲載されています。CRACIのポリシーは、パッケージエコシステムごとにソースを型付けし、24種類の組み込みソフトウェアソースプリセットを備え、ジョブの開始前に検証され、フェイルクローズで動作します。さらにCRACIは、それらの接続を通じてどのパッケージとバージョンが入ってきたかも記録します。

CRACIはWindowsやmacOSのランナーに対応していますか？

まだ対応していません。CRACIは現在、x86-64とARM64のLinuxで動作し、WindowsとmacOSはロードマップに掲載されています。AvreaはWindows 2025と、Apple M5 Max上のmacOS 26を提供しています。

乗り換えるにはGitHub Actionsのワークフローを書き直す必要がありますか？

いいえ。どちらの製品も置き換えるのはランナーであり、GitHub Actionsではありません。ワークフロー、トリガー、GitHubのUIはそのままで、CRACIではジョブのラベルがruns-on: craciになります。