CRACIとUbicloudの比較

結論から

Ubicloudは大手クラウドに代わるオープンソースの選択肢で、そのマネージドGitHub Actionsランナーは購入できる中でも最も安い部類に入ります。2026年9月時点で、2 vCPUランナーはpremium x64ハードウェアで1分あたり$0.002、standard x64またはarm64で$0.00125です。LinuxジョブのGitHub Actionsの費用を削減することが目的なら、UbicloudはCRACIより安く、しかも欧州で動作します。

CRACIは、サプライチェーンセキュリティをネイティブに扱うCIです。GitHub Actions互換のランナーでもあり、切り替えは同じく1行の変更ですが、セキュリティはランナーに後付けするツールではなく、ランナーの一部です。CRACIはビルドが取得したすべての外部依存関係を記録し、ビルドネットワークにエグレスポリシーを適用し、その記録をSBOM、脆弱性モニタリング、エビデンスに変えます。両製品は同じランナー予算を争うため、どちらか一方を選ぶことになります。

概要

Ubicloudの強み

料金。Ubicloudはレンタルしたベアメタル上で動作し、その節約分を料金に還元しています。同社は、ランナーによってGitHub Actionsの費用を4〜7分の1に削減でき、GitHubホステッドランナーの7倍のコストパフォーマンスを提供するとしています。これらはUbicloud自身の数値ですが、定価もその方向性を裏付けています。2 vCPUで1分あたり$0.00125〜$0.002と、GitHubとCRACIのどちらよりも大幅に低い料金です。

ハードウェアの選択肢。standardのx64ランナーはAMD EPYCプロセッサー、premiumランナーはシングルスレッド性能に最適化されたAMD Ryzen 9 7950X3Dチップ、arm64ランナーはvCPUごとに専用の物理コアを持つAmpere Altraを使用しています。新規アカウントはデフォルトでpremiumが割り当てられ、premiumの容量が埋まっている場合はstandardにフォールバックします。サイズは2〜30 vCPUで、イメージはGitHub自身のrunner-imagesテンプレートからビルドされています。

ワークフローを変えずにキャッシュ。Ubicloudの透過的キャッシュは、actions/cache、setupアクション、Dockerレイヤーキャッシュをランナーの近くのストレージから提供し、Ubicloudによれば最大4倍高速で、リポジトリごとに週30 GBが利用できます。SSHアクセスで、失敗したワークフローをデバッグできます。

オープンソースと分離。UbicloudのコードはAGPL-3.0で公開されているため、仕組みを確認することも、自社で運用することもできます。各ジョブには、終了後にブロックストレージが削除されるクリーンな使い捨てのKVM仮想マシンが割り当てられ、GitHubのジャストインタイムランナーAPIで登録されます。ランナーはドイツのデータセンターでホストされています。

料金とサイズ

Ubicloudの定価はすべてのサイズで低くなっています。CRACIの2 vCPUで1分あたり$0.004は、Ubicloudのpremium x64の2倍、standardとarm64の3倍以上です。CRACIは秒単位で計測して最も近い秒に丸め、Ubicloudは分単位で課金するため、短いジョブでは差が縮まります。30秒のジョブはCRACIで$0.002となり、Ubicloudのpremium x64で1分として課金される額と同じです。構成も異なります。Ubicloudのx64ランナーはvCPUあたり4 GBのRAM、arm64ランナーは3 GBで、CRACIのコンピュートユニットは1 vCPUと3 GBです。最新の条件はCRACIの料金をご覧ください。

CRACIが競うのは料金ではありません。両社とも、ランナーがGitHubホステッドランナーの約2倍高速であるとしています。CRACIはより高速なハードウェア、短いキュー待ち時間、キャッシュによってそれを実現しています。両者を直接比較するベンチマークは行っていません。

CRACIの違い

ビルドが取得したものの記録

各ジョブの実行中、パッケージを認識するプロキシが、npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースとダウンロードプリセットへの通信を記録します。依存関係のエビデンスはCIキャッシュとともに引き継がれるため、キャッシュから復元されたパッケージも記録に残ります。インストールフックやビルドスクリプトがダウンロードするコード、ベースイメージのレイヤーなど、どのロックファイルにも載っていない隠れた依存関係も含まれます。すべてのジョブが、ジョブとキャッシュごとの完全性の状態（Complete、Complete with connections、Incomplete、Unavailable、Not recorded）付きのCycloneDXまたはSPDXのSBOMを生成します。

ビルドのアクセス先を制御

ジョブごとのクリーンなVMは、あるジョブが次のジョブを汚染することを防ぎます。しかし、侵害された依存関係がジョブの実行中にシークレットをどこかへ送信することは防げません。CRACIのエグレスポリシーはそれを防ぎます。デフォルト拒否またはデフォルト許可、24種類の組み込みソフトウェアソースプリセット、型付きのカスタムソース、明示的なTLS、TCP、UDP、ICMPのルールを備えています。ポリシーはジョブ開始前に検証され、フェイルクローズで動作し、違反があればアラートを送ります。ポリシーはビルドに必要なものだけを許可するため、誰も見たことのない攻撃であっても、ビルドに不要なホストへの持ち出しをブロックします。

来歴とモニタリング

APIはSBOM、ネットワークトレース、来歴を返します。CRACIは来歴に署名しません。ビルドとリポジトリを横断して脆弱性を集約し、監視対象のSBOMを継続的に再評価します。

2つの異なるセキュリティの問い

Ubicloudのセキュリティへの取り組みは、「ジョブを任せてもランナーは安全か」という問いに答えるものです。分離されたVM、ジャストインタイムの登録、暗号化、公開されたソースコードです。CRACIもこの問いに、分離された仮想マシン、ソースコードを保存しないこと、ISO 27001認証で答えます。そのうえで2つ目の問いにも答えます。「このビルドは何を取り込み、どこに接続したか」。この2つ目の答えこそ、監査人、顧客、Cyber Resilience Actが求めるものです。

デモを予約して、お客様自身のワークフローのSBOM、ネットワークトレース、来歴をご覧ください。

どちらが適しているか

Ubicloudが適している場合

• Linuxジョブの1分あたりの最安料金が主な目的である。
• 自社でも運用できるオープンソースのプラットフォームが欲しい。
• すでにコンピュートやPostgreSQLにUbicloudを使っており、CIも同じ請求にまとめたい。

CRACIが適している場合

• 各リリースに何が含まれたかを、ビルドそのものから示す必要があるソフトウェアを出荷している。
• フェイルクローズのポリシーで、ビルドのアクセス先を制限したい。
• すべてのワークフローにツールを追加することなく、出荷したもののモニタリングが必要。
• 契約条件としてのEUデータレジデンシーが必要（CRACIのEnterpriseプランで提供）。

CRACIを選ぶことで手放すもの。すべてのサイズでより低いUbicloudの料金と、そのオープンソースのコードです。得られるのは、パイプラインに別のスキャナーを追加しなくても、セキュリティとコンプライアンスで活用できるビルドの記録です。

Cyber Resilience Actへの対応

EUのCyber Resilience Actは、製造業者に対し、各リリースに何が含まれるかを把握し、その脆弱性に対処することを求めています。報告義務は2026年9月から、全面適用は2027年12月からです。低コストのランナーはそれだけではこのエビデンスを生成しないため、ワークフローにSBOMツールやスキャンツールを追加することになります。CRACIはビルドの記録からエビデンスを生成し、SBOMをCycloneDXまたはSPDXでエクスポートします。企業がより広いCRAコンプライアンスプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。

Ubicloudからの移行

CRACIが置き換えるのはランナーであり、GitHub Actionsではありません。ワークフローとGitHubのUIはそのままで、ジョブのラベルがruns-on: craciになります。ジョブではDocker Engine、Buildx、Compose v2、GitHub互換のUbuntu 24.04イメージ、そしてx86-64でのネストされた仮想化を利用できます。CI/CD連携とビルド時SBOM生成の詳細もご覧ください。スタートアップはスタートアッププログラムにお申し込みいただけます。

キャッシュ、OIDCの信頼ポリシー、IP許可リスト、フォールバックについては、GitHub Actionsのランナープロバイダーを切り替える方法をお読みください。ヨーロッパのインフラでビルドを実行するには、ヨーロッパのGitHub Actionsランナーをご覧ください。

UbicloudとCRACI：よくあるご質問

料金、速度、ホスティング、セキュリティについて、各ベンダーの公開情報に基づいてお答えします

Ubicloudとは何ですか？

Ubicloudはオープンソースのクラウドで、コンピュート、マネージドPostgreSQL、Kubernetes、GitHub Actionsランナーを、Hetzner、Leaseweb、AWS Bare Metalなどのベアメタルプロバイダー上に構築しています。マネージドサービスとして使うことも、自社で運用することもできます。GitHub Actionsランナーはラベル1つで切り替えられ、各ジョブにクリーンな使い捨ての仮想マシンが割り当てられます。UbicloudはY CombinatorのW24バッチに参加し、シードラウンドで$16Mを調達しました。

Ubicloudのランナーの料金はいくらですか？

2026年9月時点で、2 vCPUのx64ランナーは、standardハードウェアで1分あたり$0.00125、新規アカウントのデフォルトであるpremiumハードウェアで$0.002です。2 vCPUのarm64ランナーは$0.00125です。課金は分単位で、すべてのアカウントに毎月$2.50のクレジット（約1,250分）が付与されます。Ubicloudのマーケティングページではstandardランナーが1分あたり$0.0010からとも記載されていますが、ここでの数値は料金ドキュメントに基づいています。

UbicloudはCRACIより安いですか？

安いです。CRACIはx86-64でもARM64でも、2 vCPUで1分あたり$0.004です。Ubicloudの2 vCPUランナーは、premium x64で$0.002、standard x64とarm64で$0.00125です。CRACIは秒単位、Ubicloudは分単位で計測するため、短いジョブでは差が縮まります。30秒のジョブはCRACIで$0.002となり、Ubicloudのpremium x64で1分として課金される額と同じです。CRACIがランナーに加えるのはビルドの記録です。すべてのジョブのSBOM、エグレスポリシー、来歴データ、脆弱性モニタリングです。

UbicloudはCRACIより速いですか？

UbicloudはランナーがGitHubホステッドランナーの2倍の速度で動作するとしており、CRACIも、より高速なハードウェア、短いキュー待ち時間、キャッシュにより、GitHubホステッドランナーの約2倍の速度でビルドを実行します。両者を直接比較するベンチマークは行っていないため、同じワークフローを両方で実行して比較してください。

UbicloudはSBOMやビルド来歴を生成しますか？

文書化された機能には含まれていません。Ubicloudのランナーは、料金、性能、ジョブの分離に重点を置いています。CRACIは、キャッシュから復元されたパッケージを含め、すべてのジョブが取得したパッケージを記録し、完全性の状態付きのCycloneDXまたはSPDXのSBOMを生成します。APIはSBOM、ネットワークトレース、来歴を返します。

Ubicloudはビルドのネットワーク上のアクセス先を制限できますか？

ランナーのジョブ向けのエグレスポリシーは、UbicloudのGitHub Actionsドキュメントに記載された機能には含まれていません。ドキュメントが扱うのは、分離されたVM、ジャストインタイムのランナー登録、メタデータログの保持です。CRACIはランナーでエグレスポリシーを適用します。デフォルト拒否または許可、24種類の組み込みソフトウェアソースプリセットを備え、ジョブ開始前に検証され、フェイルクローズで動作します。

ジョブはどこで実行され、データをEU内に留められますか？

UbicloudはGitHub Actionsランナーをドイツのデータセンターに割り当てています。CRACIは欧州のベアメタルインフラ上でビルドを実行し、EnterpriseプランではEUデータレジデンシーを提供します。CRACIはソースコードを保存しません。ソースコードはビルドの間だけジョブのVM内で処理されます。

切り替えるにはGitHub Actionsのワークフローを書き直す必要がありますか？

必要ありません。どちらの製品も置き換えるのはランナーであり、GitHub Actionsではありません。ワークフロー、トリガー、GitHubのUIはそのままで、CRACIではジョブのラベルがruns-on: craciになります。