CRACI vs Blacksmith CI

結論

BlacksmithはGitHub Actions向けのマネージドランナーサービスで、速度とコストを重視しています。ベアメタルのハードウェア上のLinux、Windows、macOSランナー、同一拠点の依存関係キャッシュ、永続ディスクによるDockerレイヤーのキャッシュ、CIのオブザーバビリティを提供します。GitHub Actionsをより速く安くすることだけが目的なら、Blacksmithは有力な選択肢です。x64の定価はCRACIと同じで、ARMの料金はより安く、毎月3,000分のx64の無料枠もあります。

CRACIはサプライチェーンセキュリティをネイティブに扱うCIです。CRACIもGitHub Actions互換のランナーで、乗り換えは同じく1行の変更で済みますが、セキュリティは後から追加するツールではなく、ランナーの一部です。CRACIはビルドが取得したすべての外部依存関係を記録し、ビルドネットワークにエグレスポリシーを適用し、その記録をSBOM、脆弱性の監視、CRAのエビデンスに変換します。両製品は同じランナーの予算を取り合うため、いずれか1つを選ぶことになります。

概要の比較

Blacksmithの強み

パフォーマンス重視。Blacksmithはシングルコア性能の高いベアメタルマシンでジョブを実行し、ランナーはGitHubホステッドランナーの2倍の速さで、同一拠点のキャッシュのダウンロードは約4倍速いとしています。Dockerビルドについては、レイヤーのキャッシュにより顧客が2倍から40倍の改善を得たと報告しています。これらはBlacksmithの数値であり、実際の検証にはご自身のパイプラインが最適です。

ワークフローを変えずにキャッシュ。GitHub公式のcacheとsetupのアクションは、Blacksmithのキャッシュと透過的に連携します。リポジトリごとに週25 GBの無料ストレージがあり、7日後に最も長く使われていないものから削除されます。Sticky diskとDockerレイヤーのキャッシュは1 GBあたり月額$0.50で実行間の状態を保持し、ドキュメントではBazel、Gitのチェックアウト、コンテナイメージのキャッシュも扱っています。

プラットフォームのカバー範囲。Blacksmithは、x64とARMで2〜32 vCPUのUbuntu 22.04と24.04、パブリックベータのWindows Server 2025、6 vCPUと12 vCPUサイズのApple M4上のmacOSを提供しています。同時実行数の制限はありません。CRACIは現在Linuxのみで、WindowsとmacOSはロードマップに掲載されているため、それらのジョブについてはBlacksmithがCRACIのまだカバーしていない領域を補います。

デバッグと分析。実行中のジョブへのSSHアクセス、実行履歴、ログ検索、メトリクス、モニター、テスト分析、CIダッシュボードは、いずれもドキュメントに記載された機能です。実際のGitHub Actionsジョブ内でローカルの変更を実行するTestboxesは、アーリーベータです。

サービスのセキュリティとコンプライアンス。ジョブはエフェメラルなFirecracker microVMで実行され、各ジョブにはそのジョブに限定され1時間で失効するジャストインタイムのトークンが発行されます。BlacksmithはSOC 2 Type 2とGDPRに準拠し、四半期ごとにペネトレーションテストを受けているとしています。

料金とサイズ

x64では、両社の定価は同じで、2 vCPUで1分あたり$0.004です。CRACIはARM64をx86-64と同じ料金で課金するため、ARMではBlacksmithの方が明らかに安く、Blacksmithには毎月3,000分のx64の無料枠もあります。CRACIは秒単位（最も近い秒に丸め）で課金するため、短いジョブは実行した秒数分だけ請求されます。構成も異なります。CRACIのコンピュートユニットは1 vCPUとRAM 3 GBで、1〜32ユニットまで選べます。一方、Blacksmithのx64ランナーはvCPUあたり4 GB、ARMランナーは3 GBです。料金を比較する前に、ビルドに必要なメモリを合わせてください。最新の条件はCRACIの料金をご覧ください。

両者の最大の違いは速度ではありません。どちらも、自社のランナーはGitHubホステッドランナーの約2倍の速さだとしています。CRACIは、より高速なハードウェア、短いキュー待ち時間、キャッシュによってこれを実現しています。当社は両者を直接比較するベンチマークを行っていません。

CRACIの違い

ビルドが取得したものの記録

各ジョブの実行中、パッケージを認識するプロキシがパッケージソースへの通信を記録します。対象はnpm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースと、ダウンロードプリセットです。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、キャッシュから復元されたパッケージも記録に残ります。すべてのジョブが、ジョブごと・キャッシュごとに完全性の状態を持つCycloneDXまたはSPDX形式のSBOMを生成します。状態はComplete、Complete with connections、Incomplete、Unavailable、Not recordedのいずれかです。

ビルドのアクセス先を制御

Blacksmithの静的IPにより、ランナーはファイアウォールで保護されたサービスに固定アドレスからアクセスできます。CRACIも安定したエグレスIP範囲を提供し、さらにエグレスポリシーを加えます。デフォルト拒否またはデフォルト許可、24種類の組み込みソフトウェアソースのプリセット、型付きのカスタムソース、明示的なTLS、TCP、UDP、ICMPルールです。ポリシーはジョブ開始前に検証され、フェイルクローズで動作し、違反時にはアラートを送信します。

来歴と監視

APIからSBOM、ネットワークトレース、来歴を取得できます。CRACIはビルドとリポジトリをまたいで脆弱性を集約し、監視対象のSBOMを継続的に再評価します。

2つの異なるセキュリティの問い

Blacksmithのセキュリティへの取り組みは、「このランナーサービスにジョブを任せて安全か」という問いに答えるものです。分離されたmicroVM、短命のトークン、暗号化されたキャッシュ、SOC 2レポートがその答えです。CRACIも、分離された仮想マシンとソースコードを保存しない仕組みでこの問いに答えたうえで、さらに2つ目の問いに答えます。「このビルドは何を取り込み、どこに接続したか」です。この2つ目の答えこそ、監査人、顧客、そしてCyber Resilience Actが求めるものです。

デモを予約して、お客様のワークフローの1つから得られるSBOM、ネットワークトレース、来歴をご覧ください。

どちらが適しているか

Blacksmithが適しているケース

• ビルドの速度とARMでの1分あたりの最低コストが主な目的である場合、または毎月の無料枠が重要な場合。
• 現時点でmacOSやWindowsのランナーが必要な場合。
• Sticky disk、Blacksmithのオブザーバビリティコンソール、SSHデバッグに依存している場合。

CRACIが適しているケース

• 各リリースに何が含まれたかを、ビルド自体から示す必要があるソフトウェアを出荷している場合。
• フェイルクローズで動作するポリシーにより、ビルドのアクセス先を制限したい場合。
• すべてのワークフローにツールを追加することなく、出荷したものを監視したい場合。
• CRACIのEnterpriseプランで利用できるEUデータレジデンシーが必要な場合。

CRACIを選ぶことで手放すもの。ロードマップに掲載されているWindowsとmacOSのジョブ、ARMでの最低料金、Blacksmithのデバッグと分析のツールです。得られるのは、パイプラインに別のスキャナーを加えることなく、セキュリティとコンプライアンスの担当者が活用できるビルドの記録です。

Cyber Resilience Actへの対応

EUのCyber Resilience Actは、メーカーに対して各リリースに何が含まれるかを把握し、その脆弱性に対処することを求めており、報告義務は2026年9月から、全面適用は2027年12月からです。高速なランナーだけではそのエビデンスは得られず、ワークフローにSBOMとスキャンのツールを追加することになります。CRACIはビルドの記録からエビデンスを作成し、脆弱性を含めてSBOMをCycloneDXまたはSPDXでエクスポートします。CRACIは、企業がより広範なCRAコンプライアンスのプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。

Blacksmithからの移行

CRACIはGitHub Actionsではなくランナーを置き換えます。ワークフローとGitHubのUIはそのままで、ジョブのラベルはruns-on: craciになります。ジョブではDocker Engine、Buildx、Compose v2、GitHub互換のUbuntu 24.04イメージ、x86-64でのネステッド仮想化を利用できます。詳しくはCI/CD連携とビルド時SBOM生成をご覧ください。スタートアップはスタートアッププログラムに申し込めます。

キャッシュ、OIDCの信頼ポリシー、IP許可リスト、フォールバックについては、GitHub Actionsのランナープロバイダーを切り替える方法をお読みください。ヨーロッパのインフラでビルドを実行するには、ヨーロッパのGitHub Actionsランナーをご覧ください。

BlacksmithとCRACI：よくあるご質問

料金、速度、プラットフォーム、セキュリティについて、各ベンダーの公開情報に基づいてお答えします

Blacksmith CIとは何ですか？

BlacksmithはGitHub Actions向けのマネージドランナーサービスです。ワークフローはそのままでランナーのラベルを変更すると、ジョブはGitHubホステッドランナーではなく、BlacksmithのベアメタルマシンのFirecracker microVMで実行されます。より高速なハードウェア、同一拠点の依存関係キャッシュ、Dockerレイヤーのキャッシュ、CIのオブザーバビリティにより、速度と価格を強みとしています。

Blacksmithの料金はいくらですか？

2026年9月時点で、Blacksmithは2 vCPUのUbuntu x64を1分あたり$0.004、Ubuntu ARMを$0.0025、Windowsを$0.008、macOS M4（6 vCPU）を$0.08としています。すべての組織に毎月2 vCPU x64で3,000分の無料枠があります。DockerレイヤーのキャッシュとSticky diskは1 GBあたり月額$0.50、静的IPは1 IPあたり月額$100です。

BlacksmithはCRACIより安いですか？

ARMでは安く、x64では定価が同じです。CRACIは2 vCPUでx86-64とARM64のどちらも1分あたり$0.004で、Blacksmithはx64が$0.004、ARMが$0.0025です。さらにBlacksmithには毎月3,000分のx64の無料枠があります。CRACIは秒単位で課金するため、短いジョブは実行した秒数分だけ請求されます。CRACIがランナーに加えるのはビルドの記録です。すべてのジョブのSBOM、エグレスポリシー、APIによる来歴データ、脆弱性の監視であり、これらは通常なら別々のツールが必要になります。

BlacksmithはCRACIより高速ですか？

どちらも、自社のランナーはGitHubホステッドランナーの約2倍の速さだとしています。CRACIは、より高速なハードウェア、短いキュー待ち時間、キャッシュによってこれを実現しています。当社は両者を直接比較するベンチマークを行っていないため、同じワークフローを両方で実行して比較してください。

BlacksmithはSBOMやビルドの来歴を生成しますか？

公開ドキュメントには記載されていません。Blacksmithはコンピュート、キャッシュ、オブザーバビリティに注力しています。CRACIは、キャッシュから復元されたパッケージを含め、すべてのジョブが取得したパッケージを記録し、完全性の状態付きのCycloneDXまたはSPDX形式のSBOMを生成します。APIからSBOM、ネットワークトレース、来歴を取得できます。

Blacksmithはビルドがネットワーク上でアクセスできる先を制限できますか？

Blacksmithは静的IPを提供しており、ジョブは固定アドレスからファイアウォールで保護されたサービスにアクセスできます。ジョブ自体の接続先に関するポリシーは、公開ドキュメントに記載されていません。CRACIはランナー上でエグレスポリシーを適用します。デフォルト拒否またはデフォルト許可を選べ、24種類の組み込みソフトウェアソースのプリセットがあり、ジョブ開始前に検証され、フェイルクローズで動作します。

CRACIはWindowsやmacOSのランナーに対応していますか？

まだ対応していません。CRACIは現在x86-64とARM64のLinuxで動作し、WindowsとmacOSはロードマップに掲載されています。BlacksmithはApple M4上のmacOSと、パブリックベータのWindows Server 2025を提供しています。

ジョブはどこで実行され、データをEU内にとどめられますか？

Blacksmithは、US East、US West、アムステルダム、フランクフルトのベアメタルマシンでジョブを実行し、コントロールプレーンはAWS上にあります。CRACIは欧州のベアメタルインフラでビルドを実行し、EnterpriseプランではEUデータレジデンシーを提供します。CRACIはお客様のソースコードを保存せず、ソースコードはビルドの間だけジョブのVM内で処理されます。

BlacksmithはSOC 2に準拠していますか？

Blacksmithは、SOC 2 Type 2とGDPRに準拠しており、四半期ごとにペネトレーションテストを受けているとしています。CRACIはセキュリティ管理策をTrust Centerで公開しています。

乗り換えにはGitHub Actionsのワークフローを書き直す必要がありますか？

いいえ。どちらの製品もGitHub Actionsではなくランナーを置き換えます。ワークフロー、トリガー、GitHubのUIはそのままで、CRACIではジョブのラベルがruns-on: craciになります。