CRACI vs Azure Pipelines

간단한 답변

Azure Pipelines는 Azure DevOps의 CI/CD 구성 요소입니다. Linux, Windows, macOS에서 빌드하고 테스트하며, Azure Repos 및 GitHub와 연동되고, 가상 머신, 컨테이너, 온프레미스 및 클라우드 대상에 배포합니다. 작업 추적, 리포지토리, 릴리스가 Azure DevOps에 있거나, 하나의 Microsoft 계약으로 Windows와 macOS 빌드가 필요하다면 잘 맞습니다.

CRACI는 더 좁은 영역을 다루는 대신 더 깊이 들어갑니다. CRACI는 GitHub Actions용 러너입니다. 각 작업이 실행되는 동안 빌드가 가져오는 모든 외부 종속성을 기록하고, 빌드 네트워크에 이그레스 정책을 적용하며, 그 기록으로부터 SBOM, 출처 증명 데이터, 취약점 모니터링을 제공합니다. Azure Pipelines에서는 그런 증거가 각 파이프라인에 추가하는 태스크와 도구에서 나옵니다.

먼저 실무적인 사항이 하나 있습니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. Azure Pipelines는 지원되지 않으므로, CRACI에서 실행하려면 파이프라인을 GitHub Actions 워크플로로 옮겨야 합니다.

한눈에 보기

Azure Pipelines의 강점

Azure DevOps와 하나의 플랫폼. 파이프라인은 작업 추적, Azure Repos, Azure Artifacts와 나란히 있어 작업 항목, 코드, 빌드, 패키지가 한곳에 모입니다. GitHub에 호스팅된 코드도 빌드합니다.

모든 운영체제. Microsoft 호스팅 에이전트는 Linux, Windows, macOS를 실행하며, 병렬 작업 하나로 어느 OS든 같은 가격에 실행합니다. 셀프 호스팅 에이전트는 이를 자체 머신으로 확장하며, Azure DevOps Server는 플랫폼 전체를 온프레미스로 가져옵니다.

작업당 무제한 시간. 유료 병렬 작업에는 월간 시간 한도가 없으며, 실행당 최대 360분까지 허용됩니다. 작업을 하루 종일 바쁘게 돌리는 팀은 빌드가 얼마나 오래 걸리든 정액을 지불합니다.

배포 기능 내장. 파이프라인은 빌드를 가상 머신, 컨테이너, 온프레미스 서버, 클라우드 대상으로의 배포까지 이어 줍니다.

CRACI가 다른 점

SBOM은 빌드에서 나옵니다

Azure Pipelines에서 SBOM은 추가한 태스크나 스캐너 단계에서 나오며, 이는 대개 사후에 매니페스트와 잠금 파일을 읽습니다. 빌드는 흔히 이 파일들에 적힌 것 이상의 일을 합니다. 설치 스크립트가 코드를 내려받고, 빌드 스크립트가 빌드 시점에 무언가를 가져오며, 캐시가 어떤 잠금 파일에도 없는 패키지를 복원합니다. CRACI는 러너이기 때문에 그 트래픽을 볼 수 있습니다. 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스 전반에서 각 작업이 패키지 소스로부터 가져오는 내용을 기록하며, 종속성 증거는 CI 캐시와 함께 전달됩니다. CycloneDX 또는 SPDX 형식의 각 SBOM은 작업별 및 캐시별로 얼마나 완전한지 명시합니다.

빌드 네트워크에 대한 정책

Microsoft 호스팅 에이전트에서는 빌드가 접근할 수 있는 범위를 사용자가 설정할 수 없고, 셀프 호스팅 에이전트에서는 직접 구축하고 유지 관리해야 하는 네트워크 설정입니다. CRACI는 각 작업에 이그레스 정책을 적용합니다. 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 유형별 사용자 지정 소스를 제공하고, 작업 시작 전에 검증됩니다. 정책은 실패 시 차단되며, 위반 시 알림을 보냅니다.

출시된 내용의 모니터링

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 권고가 나올 때마다 모니터링 중인 SBOM을 계속 재평가하며, 과거 어떤 빌드에 취약한 종속성이 포함되었는지 보여 주므로 영향을 받은 기간을 알 수 있습니다.

병렬 작업이 아닌 분 단위 과금

Azure Pipelines는 동시성을 판매합니다. 동시에 실행하려는 빌드마다 2코어 7 GB 단일 크기의 월 $40 호스팅 작업이 하나씩 필요합니다. 22일의 근무일마다 8시간씩 바쁘게 돌리면 작업 하나는 분당 약 $0.0038로, 2 vCPU 기준 CRACI의 $0.004보다 약간 낮습니다. 그 절반만 바쁘다면 약 $0.0076입니다. 빌드는 몰려서 들어오므로, 가장 바쁜 시간에 맞춰 구매한 작업은 나머지 시간 동안 유휴 상태로 남습니다.

CRACI는 빌드 시간에만 요금을 부과합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며, 초 단위로 측정하고, 월 요금과 SBOM당 요금이 없습니다. 더 많은 성능이 필요한 작업은 최대 32 vCPU까지 사용할 수 있습니다. 전체 비교는 CI 러너 요금을 참조하세요.

어느 쪽이 적합한가

• 작업 추적, 리포지토리, 릴리스가 Azure DevOps에 있거나, Windows 또는 macOS 빌드가 필요하거나, 같은 파이프라인에서 배포하거나, 작업이 하루 종일 바쁘다면 Azure Pipelines를 계속 사용하세요.
• 코드가 GitHub에 있거나 GitHub로 옮기는 중이고, 각 빌드가 릴리스에 무엇이 들어갔는지에 대한 기록을 빌드 시간 단위 요금으로 생성하기를 원한다면 CRACI를 선택하세요.
• 단계적으로 이전하는 동안에는 둘 다 사용하세요. 선택은 파이프라인 단위이므로, Linux 빌드는 CRACI의 GitHub Actions로 옮기고 Windows, macOS, 배포 파이프라인은 그대로 둘 수 있습니다.

CRACI를 선택할 때 포기하는 것을 분명히 알아 두세요. CRACI는 소프트웨어를 배포하지 않으며, 현재 Linux 작업만 실행하고 Windows와 macOS는 로드맵에 있으며, 고객 호스팅 러너는 Enterprise용으로 로드맵에 있습니다.

규제 대상 제품의 경우

EU Cyber Resilience Act 같은 프레임워크는 제조사가 각 릴리스에 무엇이 들어 있는지 파악하고 그 취약점을 처리하기를 기대하며, 2026년 9월부터 보고 의무가 적용됩니다. Azure Pipelines에서는 그 증거가 각 파이프라인에 연결한 태스크와 스캐너에서 나옵니다. CRACI는 빌드 기록에서 증거를 만들어 내고 SBOM을 CycloneDX 또는 SPDX로 내보냅니다. CRACI는 기업이 더 넓은 CRA 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어느 도구도 그 자체만으로 제품을 규정 준수 상태로 만들지는 않습니다.

파이프라인을 CRACI로 옮기기

GitHub의 자체 도구인 GitHub Actions Importer는 Azure DevOps 파이프라인을 GitHub Actions 워크플로로 변환합니다. GitHub는 각 워크플로의 80%를 자동 변환하는 것을 목표로 하며, 변환된 모든 워크플로는 프로덕션에서 실행하기 전에 검토해야 한다고 밝히므로 일부 수작업을 계획해 두세요. 파이프라인이 GitHub Actions 워크플로로 실행되면 한 줄로 CRACI에서 실행됩니다.

runs-on: craci

실행은 여전히 GitHub UI에 표시됩니다. 빌드 시점 SBOM 생성에 대해 자세히 알아보거나, Azure Pipelines 대안을 확인하거나, CI/CD 플랫폼을 비교하거나, 요금을 참조하세요.