CRACI vs WarpBuild

結論

WarpBuildはGitHub Actionsのランナープロバイダーです。Linux、Windows、macOSのホスト型ランナー、高速なキャッシュ、スナップショットランナー、リモートDockerビルダーに加え、同じランナーをお客様のAWS、GCP、Azureアカウントで実行するBYOC（bring-your-own-cloud）オプションを提供しています。1つのランナーベンダーで最も幅広いプラットフォームをカバーしたい場合や、自社クラウド内でランナーを動かしたい場合、WarpBuildは有力な選択肢です。

CRACIはサプライチェーンセキュリティを軸に構築された、GitHub Actions互換のランナーです。すべてのジョブが取得したもののSBOMを生成し、エグレスポリシーのもとで実行されます。WarpBuildが速度、価格、ランナーの実行場所で競うのに対し、CRACIはランナーが何を記録し制御するかで競います。どちらもGitHubホステッドランナーを置き換えるため、いずれか1つを選ぶことになります。

概要の比較

WarpBuildの強み

• プラットフォームとサイズ。x86-64（Ubuntu 22.04、24.04、26.04）とarm64（24.04、26.04）のLinuxランナーを2 vCPU・RAM 8 GBから32 vCPU・128 GBまで提供し、4 vCPUからのWindows Server 2022と2025のランナー、Apple M4/M5 Pro上のmacOS 14、15、26、Apple Silicon上のLinux arm64ランナーもあります。x86-64のLinuxではネステッド仮想化を利用できます。
• 分離。すべてのランナーはジョブのために作成され、終了後に破棄されるエフェメラルな仮想マシンで、専用の暗号化ストレージボリュームを持ちます。WarpBuildは、お客様のコードにアクセスせず、ビルドシークレットも保存しないとしています。
• キャッシュとDocker。ホスト型ランナーで1 GB・月あたり$0.20で課金される容量上限のないキャッシュ、コンテナレイヤーのキャッシュ、準備済みのマシン状態を復元するスナップショットランナー、そしてamd64とarm64のネイティブビルドに対応し他のCIシステムからも利用できるリモートDockerビルダーを提供しています。
• Bring your own cloud。BYOCは、WarpBuildが管理するランナーをお客様のAWS、GCP、Azureアカウント内の任意のリージョンで実行し、静的IP、スポットインスタンス、スタンバイディスク、カスタムVMイメージに対応します。WarpBuildはBYOCのLinuxとWindowsのランナーを、クラウドプロバイダーへの支払いに加えて1分あたり$0.002、アドオン無料としています。
• Enterprise。セキュリティ、可用性、機密性を対象とするSOC 2 Type II、リージョン指定のインフラ、SAML SSO、SCIM、クレジット補償付きの99.9%稼働率SLA、ジョブを10秒未満で開始するウォームプール、SSHデバッグ、GitHub Enterprise Serverへの対応を提供しています。

速度については、WarpBuildはGitHubホステッドランナーの2倍の速さ、料金ページでは2〜10倍の速さをうたっています。これらはWarpBuildの主張であり、当社はCRACIとWarpBuildのベンチマークを行っていません。公正に比較するには、ご自身のパイプラインで試すのが一番です。

料金とサイズ

x86-64では、両社の1分あたりの定価は同じで、2 vCPUで$0.004、32 vCPUで$0.064です。CRACIはARM64をx86-64と同じ料金で課金するため、arm64ではWarpBuildの方が安価です。BYOCではコンピュートの費用が自社のクラウド費用に移ります。CRACIは分単位ではなく秒単位で課金するため、短いジョブは実行した秒数分だけ請求されます。vCPUあたりのメモリも異なる（CRACIは3 GB、WarpBuildのLinuxは4 GB）ため、比較する前にビルドに必要な構成を合わせてください。最新の条件はCRACIの料金をご覧ください。

CRACIの違い

CRACIは、出荷するものの信頼できる情報源としてビルドを扱います。

ビルドが取得したものの記録

各ジョブの実行中、パッケージを認識するプロキシがパッケージソースへの通信を記録します。対象はnpm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースと、ダウンロードプリセットです。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、キャッシュから復元されたパッケージも記録に残ります。各ジョブのSBOMはCycloneDXまたはSPDX形式で、ジョブごと・キャッシュごとに完全性の状態を持つため、記録が完全かどうかを判断できます。

ランナーに付属するエグレスポリシー

CRACIのポリシーはデフォルト拒否またはデフォルト許可で、24種類の組み込みソフトウェアソースのプリセット、npm、PyPI、apt、apk、Goプロキシ、Nix、Cargo、OCIレジストリ、HTTPSとSSH経由のGit向けの型付きカスタムソース、そして明示的なTLS、TCP、UDP、ICMPルールを備えています。ポリシーはジョブ開始前に検証され、フェイルクローズで動作し、違反時にはアラートを送信します。CRACIのランナーは安定したエグレスIP範囲も使用します。

WarpBuildのドキュメントには、ホスト型ランナー向けのジョブ単位のエグレスポリシーは記載されていません。BYOCではランナーが自社ネットワーク内に置かれ、WarpBuildのAWSハードニングガイドでは、ランナーに必要なエンドポイントを挙げたうえで、自社のセキュリティグループで送信ルールを厳格化する方法が示されています。これは有効な方法ですが、ジョブに付随するポリシーではなく、自社のクラウドアカウントで保守するネットワーク設定になります。

来歴と監視

• 来歴データ。APIからSBOM、ネットワークトレース、来歴を取得できます。CRACIは来歴に署名せず、SLSAレベルもうたっていません。
• 出荷したものの監視。監視対象のSBOMは新たな脆弱性に照らして継続的に再評価され、検出結果はビルドとリポジトリをまたいで集約されます。

デモを予約して、お客様のワークフローの1つから得られるSBOM、ネットワークトレース、来歴をご覧ください。

どちらが適しているか

WarpBuildが適しているケース

• macOSやWindowsのランナーが必要な場合。CRACIは現在Linuxのみで、WindowsとmacOSはロードマップに掲載されています。
• 自社のAWS、GCP、Azureアカウントでランナーを動かしたい場合。CRACIはまだ顧客ホスト型ランナーを提供しておらず、Enterprise向けにロードマップに掲載されています。
• CRACIが現在対応していないGitHub Enterprise Serverを使っている場合。
• 現在、スナップショットランナーやリモートDockerビルダーに依存している場合。
• arm64やBYOCでの1分あたりの最低コストが主な目的である場合。

CRACIが適しているケース

• リリースに何が含まれたかを、ビルド自体から完全性の状態付きで示す必要がある場合。
• クラウドネットワークに作り込むことなく、すべてのジョブにエグレスポリシーを適用したい場合。
• 出荷したSBOMを監視したい場合。
• CRACIのEnterpriseプランで利用できるEUデータレジデンシーが必要な場合。

CRACIを選ぶことで手放すもの。WindowsとmacOSのジョブ、自社クラウドでのランナー、GitHub Enterprise ServerはいずれもWarpBuildが現在提供しており、arm64とBYOCの低価格もあります。得られるのは、パイプラインに別のスキャナーを加えることなく、セキュリティとコンプライアンスの担当者が活用できるビルドの記録です。

Cyber Resilience Actへの対応

Cyber Resilience Actは、メーカーに対して製品に含まれるコンポーネントを把握し、その脆弱性に対処し、エビデンスを保持することを求めています。WarpBuildの製品はCIインフラです。CRACIは、企業がより広範なCRAコンプライアンスのプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。CycloneDXまたはSPDXでエクスポートできるビルド時SBOM、脆弱性トラッキング、APIを通じた来歴です。CRAのエビデンスをご覧ください。

WarpBuildからの移行

CRACIはGitHub Actionsではなくランナーを置き換えます。ワークフローとGitHubのUIはそのままで、ジョブのラベルはruns-on: craciになります。ジョブではDocker Engine、Buildx、Compose v2、GitHub互換のUbuntu 24.04イメージ、x86-64でのネステッド仮想化を利用できます。詳しくはCI/CD連携とビルド時SBOM生成をご覧ください。

キャッシュ、OIDCの信頼ポリシー、IP許可リスト、フォールバックについては、GitHub Actionsのランナープロバイダーを切り替える方法をお読みください。

WarpBuildとCRACI：よくあるご質問

料金、BYOC、プラットフォーム、セキュリティについて、各ベンダーの公開情報に基づいてお答えします

WarpBuildとは何ですか？

WarpBuildはGitHub Actionsのランナープロバイダーです。自社のLinux、Windows、macOSランナー、またはお客様のAWS、GCP、Azureアカウント内でWarpBuildが管理するランナー（BYOC）でジョブを実行します。リモートDockerビルダー、スナップショットランナー、アーティファクトとコンテナレイヤー向けのキャッシュも販売しています。

WarpBuildの料金はいくらですか？

2026年11月時点で、WarpBuildのホスト型Linuxランナーは2 vCPUでx86-64が1分あたり$0.004、arm64が$0.003で、32 vCPUではそれぞれ$0.064と$0.048です。Windowsは4 vCPUで1分あたり$0.016から、M4/M5 Pro上のmacOSは6 vCPUで$0.08からです。BYOCランナーは自社のクラウド費用に加えて1分あたり$0.002です。キャッシュストレージは1 GB・月あたり$0.20で、課金は分単位です。

WarpBuildはCRACIより安いですか？

arm64では安く、x86-64では定価が同じです。CRACIは2 vCPUでx86-64とARM64のどちらも1分あたり$0.004で、WarpBuildはx86-64が$0.004、arm64が$0.003です。32 vCPUでは、x86-64でどちらも1分あたり$0.064です。WarpBuildは、1分あたり$0.002に自社のクラウド費用を加えて支払うBYOCを、大規模利用で最も安価な選択肢としています。CRACIは分単位ではなく秒単位で課金するため、短いジョブは実行した秒数分だけ請求されます。CRACIがランナーに加えるのはビルドの記録です。すべてのジョブのSBOM、エグレスポリシー、来歴データ、脆弱性の監視を提供します。

WarpBuildのBYOCとは何ですか？CRACIは自社クラウドで実行できますか？

BYOCは、WarpBuildが管理するランナーをお客様のAWS、GCP、Azureアカウント内の任意のリージョンで実行するもので、静的IP、スポットインスタンス、スタンバイディスク、カスタムVMイメージに対応します。CRACIは現在、欧州のインフラ上でマネージドランナーを提供しており、Enterprise向けの顧客ホスト型ランナーはロードマップに掲載されています。

WarpBuildはSBOMやビルドの来歴を生成しますか？

公開ドキュメントには記載されていません。WarpBuildはコンピュート、キャッシュ、ランナーの実行場所に注力しています。CRACIは、キャッシュから復元されたパッケージを含め、すべてのジョブが取得したパッケージを記録し、完全性の状態付きのCycloneDXまたはSPDX形式のSBOMを生成します。APIからSBOM、ネットワークトレース、来歴を取得できます。

WarpBuildはビルドがネットワーク上でアクセスできる先を制限できますか？

WarpBuildのドキュメントには、ホスト型ランナー向けのジョブ単位のエグレスポリシーは記載されていません。BYOCではランナーが自社ネットワーク内に置かれ、WarpBuildのAWSハードニングガイドでは、自社のセキュリティグループで送信ルールを厳格化する方法が示されています。CRACIはすべてのジョブに対してランナー上でエグレスポリシーを適用します。デフォルト拒否またはデフォルト許可を選べ、24種類の組み込みソフトウェアソースのプリセットがあり、ジョブ開始前に検証され、フェイルクローズで動作します。

CRACIはWindows、macOS、GitHub Enterprise Serverに対応していますか？

現在は対応していません。CRACIはx86-64とARM64のLinuxで動作し、WindowsとmacOSはロードマップに掲載されています。GitHub Enterprise Serverには対応していません。WarpBuildはWindowsとmacOSのランナーを提供し、EnterpriseプランでGitHub Enterprise Serverに対応しています。

WarpBuildはSOC 2に準拠していますか？データはどこに保管されますか？

WarpBuildは、セキュリティ、可用性、機密性についてSOC 2 Type 2認証を取得しているとし、お客様のコードやビルドシークレットにはアクセスしないとしています。Enterpriseプランでは、選択したリージョンにデータを保管できます。CRACIは欧州のベアメタルインフラでビルドを実行し、EnterpriseではEUデータレジデンシーを提供し、お客様のソースコードを保存しません。セキュリティ管理策はTrust Centerで公開しています。

WarpBuildはCRACIより高速ですか？

WarpBuildはホームページでGitHubホステッドランナーの2倍の速さ、料金ページでは2〜10倍の速さをうたっています。当社はCRACIとWarpBuildのベンチマークを行っていないため、同じワークフローを両方で実行して比較してください。

乗り換えにはGitHub Actionsのワークフローを書き直す必要がありますか？

いいえ。どちらの製品もGitHub Actionsではなくランナーを置き換えます。ワークフロー、トリガー、GitHubのUIはそのままで、CRACIではジョブのラベルがruns-on: craciになります。