CRACI vs Buildkite

요약

Buildkite는 하이브리드 CI/CD 플랫폼입니다. SaaS 컨트롤 플레인이 오케스트레이션을 담당하고, 작업을 실행하는 에이전트는 온프레미스나 클라우드 등 자체 인프라에 둡니다. Buildkite는 소스 코드와 시크릿이 자체 환경 안에 머문다고 밝힙니다. 직접 운영하고 싶지 않다면 완전 관리형 호스팅 에이전트도 제공합니다.

CRACI는 공급망 보안을 위해 만든 관리형 GitHub Actions 호환 러너입니다. 빌드가 가져오는 모든 외부 종속성을 기록하고, 빌드 네트워크에 이그레스 정책을 적용하며, 그 기록으로 SBOM, 출처 증명 데이터, CRA 증거를 생성합니다. 간단히 말해 Buildkite는 인프라 통제를 극대화한 전통적인 CI이고, CRACI는 러너 자체가 증거가 되는 보안 인식형 CI입니다.

CRACI는 현재 GitHub Actions만 지원하므로 Buildkite 파이프라인을 실행하지 않습니다. Buildkite를 사용하는 팀이 CRACI 러너를 쓰려면 파이프라인을 GitHub Actions로 옮기거나, 로드맵에 있는 다른 CI 시스템 지원을 기다려야 합니다.

Buildkite의 강점

컴퓨팅에 대한 통제. 에이전트를 직접 호스팅하므로 하드웨어, 운영체제, 네트워크, 리전을 직접 선택합니다. 에이전트가 HTTPS로 Buildkite의 에이전트 API를 폴링하므로 인바운드 방화벽 포트를 열 필요가 없습니다. 이 모델은 대규모 모노레포, 특수 하드웨어, 그리고 정책상 소스 코드를 자체 경계 안에 두어야 하는 조직에 적합합니다.

파이프라인 무결성. 서명된 파이프라인을 사용하면 작업이 업로드 시 서명되고, 에이전트가 실행 전에 서명을 검증합니다. 따라서 업로드 이후 지시 내용이 변경된 작업은 에이전트가 실행하지 않습니다.

빌드를 둘러싼 도구. Test Engine은 불안정한 테스트를 탐지해 격리하고, 테스트를 병렬 작업으로 분할합니다. Package Registries는 SLSA 출처 증명과 함께 아티팩트를 게시할 수 있으며, Buildkite는 이것이 SLSA Build Level 1을 충족한다고 밝힙니다. 이 기능은 Enterprise 플랜에서 제공됩니다.

유연한 요금. 2026년 9월 기준 Buildkite에는 무료 플랜과 활성 사용자당 월 $30인 Pro 플랜이 있으며, Pro에는 셀프 호스팅 에이전트 10개가 포함되고 추가 에이전트는 에이전트당 월 $3.50입니다. 호스팅 Linux 에이전트는 vCPU 분당 $0.004이며 초 단위로 측정됩니다.

CRACI가 다른 점

보안 증거가 러너의 일부

셀프 호스팅 에이전트에서는 빌드 환경의 보안을 직접 책임져야 합니다. Buildkite의 보안 가이드는 최소한의 운영체제를 설치하고, 인바운드 SSH를 비활성화하며, 엄격한 네트워크 이그레스 통제를 적용하라고 안내합니다. 합리적인 책임 분담이지만, 공급망 증거가 팀이 에이전트 주변에 무엇을 구축하느냐에 달려 있다는 뜻이기도 합니다.

CRACI에서는 그 계층이 러너에 포함되어 있습니다. 패키지를 인식하는 프록시가 각 작업 실행 중 패키지 소스로 가는 트래픽을 기록하며, npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋을 지원합니다. 종속성 증거는 CI 캐시와 함께 전달됩니다. 모든 작업은 작업별, 캐시별 완전성 상태(Complete, Complete with connections, Incomplete, Unavailable, Not recorded)가 포함된 CycloneDX 또는 SPDX SBOM을 생성합니다.

직접 구축할 필요 없는 이그레스 정책

CRACI 이그레스 정책은 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, Git용 유형별 사용자 지정 소스, 명시적인 TLS, TCP, UDP, ICMP 규칙을 지원합니다. 정책은 작업 시작 전에 검증되고, 실패 시 차단되며, 위반 시 알림을 보냅니다.

출처 증명과 모니터링

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않습니다. 빌드와 리포지토리 전반의 취약점을 집계하고, 모니터링 중인 SBOM을 계속 재평가합니다.

트레이드오프

CRACI는 현재 관리형으로 제공되며, 고객 호스팅 러너는 Enterprise용 로드맵에 있습니다. 작업은 CRACI 인프라의 격리된 가상 머신에서 실행되며, 소스 코드는 빌드가 진행되는 동안 작업 VM에서 처리되고 저장되지 않습니다. Enterprise 플랜에서는 유럽 베어메탈 인프라에서 빌드를 실행하는 EU 데이터 레지던시를 제공합니다. 정책상 자체 하드웨어에서 빌드해야 한다면 Buildkite의 모델은 그 요구 사항에 맞고 CRACI의 모델은 맞지 않습니다.

어느 쪽이 맞을까

• 자체 하드웨어나 네트워크에서 빌드해야 하거나, Windows 또는 macOS 빌드를 실행하거나, GitLab 또는 Bitbucket을 사용하거나, 컴퓨팅을 직접 소유하는 편이 이득인 규모로 운영한다면 Buildkite.
• GitHub Actions를 사용하며 빌드 증거를 직접 구축하고 운영하지 않고 얻고 싶다면 CRACI. 기록된 종속성, 이그레스 정책, CRA 증거를 하나의 러너에서 얻습니다.
• 조직이 나뉘어 있다면 둘 다. 자체 하드웨어에 있어야 하는 파이프라인에는 Buildkite를, Linux GitHub Actions 워크플로에는 CRACI를 사용합니다. Yocto 이미지 같은 무거운 Linux 빌드는 CRACI Yocto 가이드에 설명된 대로 최대 32 vCPU, 96 GB RAM의 CRACI 러너에서 실행할 수 있습니다.

Cyber Resilience Act 대응

EU Cyber Resilience Act는 제조사에게 각 릴리스에 무엇이 들어 있는지 파악하고 그 취약점을 처리하도록 요구하며, 2026년 9월부터 보고 의무가, 2027년 12월부터 전면 적용됩니다. Buildkite에서는 그 증거가 에이전트에서 실행하는 도구로부터 나옵니다. CRACI는 빌드 기록에서 증거를 생성하고, 출시된 소프트웨어를 계속 모니터링하며, 취약점을 포함해 SBOM을 CycloneDX 또는 SPDX로 내보냅니다. 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다.

CRACI 도입하기

GitHub Actions 워크플로가 있는 GitHub 리포지토리라면, 조직에 CRACI GitHub App을 설치하고 러너 레이블을 설정합니다.

runs-on: craci

실행은 계속 GitHub UI에 표시됩니다. 빌드 시점 SBOM 생성과 CRACI의 보안 처리 방식에 대해 더 읽어 보시거나, 요금을 확인하세요.