CI/CD 도구 비교: GitHub Actions 외

이 페이지가 필요한 분

CI/CD 플랫폼을 선택하거나 현재 플랫폼을 검토하고 있는데, 목록에 새로운 질문이 추가되었습니다. 고객, 감사인 또는 EU Cyber Resilience Act가 각 릴리스에 무엇이 들어갔는지 묻습니다. 여기 소개된 모든 플랫폼은 빌드를 실행할 수 있습니다. 차이는 그 증거가 어디에서 나오며, 얼마나 많은 부분을 직접 조립해야 하느냐입니다.

CRACI가 이 페이지에 있는 이유도 그것이며, CRACI는 CI 플랫폼이 아닙니다. GitHub Actions용 러너입니다. GitHub Actions는 그대로 두고 runs-on을 craci로 바꾸면 됩니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. GitLab CI, CircleCI, Buildkite 파이프라인은 CRACI에서 실행되지 않습니다. CRACI는 저희가 만드는 제품이므로 이 점을 감안해 주세요. 다른 제품은 각 제품의 공식 문서를 바탕으로 설명합니다.

SBOM은 어디에서 나와야 할까

플랫폼이 SBOM을 얻을 수 있는 곳은 세 가지입니다.

리포지토리. 플랫폼이 매니페스트와 잠금 파일을 파싱합니다. GitHub의 종속성 그래프와 GitLab의 SBOM 기반 종속성 스캔이 이 방식입니다. 항상 켜져 있고 실행 비용이 적으며, 프로젝트가 선언한 내용을 기술합니다. 설치 스크립트, 다운로드한 툴체인, 캐시에서 복원된 패키지는 보지 못하며, GitHub의 내보내기는 고정된 커밋이 아니라 기본 브랜치를 반영합니다.
파이프라인에 추가하는 도구. CircleCI orb나 Buildkite 에이전트에서 SBOM 생성 도구를 하나의 단계로 실행합니다. 유연하지만, 결과는 도구와 그 설정에 따라 달라집니다. 각 생성 도구는 서로 다른 파일을 읽고 서로 다르게 해석하므로, 같은 깨끗한 체크아웃에 두 도구를 실행해도 같은 구성 요소 목록이 나오지 않습니다. CRACI는 디렉터리를 스캔하는 것이 아니라 빌드를 기록하므로, 그런 기준으로 비교할 수 없습니다.
빌드를 지켜본 러너. 작업이 실행되는 동안 발생한 트래픽으로부터 SBOM을 기록합니다. CRACI가 하는 일이 이것입니다.

출처 증명도 같은 방식으로 나뉩니다. 워크플로에 추가하는 단계인 GitHub의 아티팩트 증명은 SLSA v1.0 Build Level 2를, 재사용 가능한 워크플로를 쓰면 Level 3를 제공합니다. GitLab Runner는 모든 티어에서 SLSA 1.0 출처 증명 문서를 생성할 수 있습니다. Buildkite Package Registries는 Enterprise 플랜에서 Buildkite가 Build Level 1을 충족한다고 밝힌 SLSA 출처 증명을 게시할 수 있습니다. CRACI의 API는 작업을 관찰한 러너로부터 출처 증명 데이터를 반환하며, 서명은 없고 SLSA 레벨도 없습니다.

한눈에 보기

GitHub Actions 열에는 팀이 함께 사용하는 GitHub 플랫폼 기능, 즉 종속성 그래프, Dependabot, 아티팩트 증명, GitHub Advanced Security가 포함됩니다. 가격은 2026년 9월 기준입니다.

2026년 9월 기준. 공개 정보 없음은 확인한 공급업체 문서에 해당 내용이 없다는 뜻입니다.
기능	CRACI	GitHub Actions	GitLab CI	CircleCI	Buildkite
제품 유형	GitHub Actions용 러너	GitHub에 내장된 CI/CD	GitLab 플랫폼의 CI/CD	호스팅형 CI/CD	직접 호스팅하는 에이전트 기반 하이브리드 CI
소스 관리	GitHub	GitHub	GitLab	GitHub, GitLab, Bitbucket	GitHub, GitLab, Bitbucket 등
빌드에서 기록한 종속성	관찰한 다운로드, 캐시 포함	Maven, Gradle, Python용 빌드 데이터	잠금 파일을 읽음
SBOM 내보내기	작업별 CycloneDX, SPDX	리포지토리 그래프의 SPDX	CycloneDX 보고서	직접 추가하는 orb 사용	에이전트의 도구 사용
빌드 출처 증명	API를 통한 출처 증명 데이터, 서명 없음	SLSA Build L2 또는 L3	SLSA 1.0 문서	공개 정보 없음	SLSA L1, Enterprise
빌드 이그레스 정책	작업별, 실패 시 차단	Azure 네트워킹, 대형 러너	자체 러너에서 직접 구성	허용 목록용 IP 범위	자체 에이전트에서 직접 구성
종속성 취약점 알림	모니터링 대상 SBOM	Dependabot	Ultimate	orb 사용	공개 정보 없음
SAST 및 시크릿 스캔		비공개 리포지토리는 유료	모든 티어에 기본 기능	orb 사용	공개 정보 없음
Windows 및 macOS	현재 Linux만 지원		호스팅형은 베타
자체 머신에서 실행	고객 호스팅 러너, Enterprise				핵심 모델
컴플라이언스 보고	CycloneDX 또는 SPDX 형식의 SBOM, API를 통한 기록, 보고서 내보내기 없음	보안 개요	Ultimate	공개 정보 없음	공개 정보 없음
시작 가격	2 vCPU 분당 $0.004, 월 요금 없음	플랜에 따라 2,000~50,000분	Free 400분, Premium 사용자당 $29	Free 30,000크레딧, 월 $15부터	Free 플랜, Pro 활성 사용자당 $30

포함
일부 지원
미포함
로드맵에 포함

플랫폼별 소개

CRACI, GitHub Actions용 보안 러너

CRACI는 GitHub Actions가 아니라 러너를 대체합니다. CRACI GitHub App을 설치하고 runs-on을 바꾸면 되며, 실행 내역은 여전히 GitHub UI에 표시됩니다. 각 작업이 실행되는 동안 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 작업이 가져온 항목을 기록하고, 작업별·캐시별 완전성 상태가 포함된 CycloneDX 또는 SPDX SBOM을 만듭니다. 이그레스 정책은 작업 시작 전에 검증되고 실패 시 차단됩니다. 적합한 대상은 소프트웨어를 출시하며 각 릴리스의 증거가 필요한 GitHub Actions 팀입니다. 유의할 점은 현재 GitHub Actions와 Linux만 지원하며(GitLab CI, Jenkins, Windows, macOS는 로드맵에 있음), SAST와 시크릿 스캔이 없다는 것입니다.

빌드 시점 SBOM 생성

GitHub Actions

GitHub에 내장된 CI/CD로, 호스팅형 Linux, Windows, macOS 러너와 자체 머신용 셀프 호스팅 러너를 제공합니다. 플랜에는 월 2,000~50,000분이 포함되며, 2026년 9월 기준 표준 2코어 Linux 러너는 분당 $0.006입니다. 주변에는 종속성 그래프, Dependabot 알림 및 보안 업데이트, 아티팩트 증명, 그리고 유료 제품인 GitHub Secret Protection과 GitHub Code Security가 있습니다. 적합한 대상은 이미 GitHub에 있는 코드입니다. 유의할 점은 생성 도구를 직접 추가하지 않는 한 SBOM이 빌드가 아니라 리포지토리를 기술한다는 것입니다.

CRACI vs GitHub 호스팅 러너, CRACI와 GitHub Advanced Security

GitLab CI

소스 관리, 머지 리퀘스트, 계획, CI/CD를 하나의 제품에 담은 완전한 DevSecOps 플랫폼의 일부입니다. 기본 SAST, 시크릿 탐지, 컨테이너 스캔은 모든 티어에서 실행되며, Ultimate에는 종속성 스캔, 지속적인 취약점 스캔, DAST, 취약점 보고서가 추가됩니다. 호스팅 러너는 x86-64 및 arm64 Linux를 지원하고, Windows와 macOS는 베타입니다. 2026년 9월 기준 Free에는 컴퓨팅 시간 400분이 포함되며, Premium은 연간 청구 기준 사용자당 월 $29입니다. 적합한 대상은 전체 수명 주기를 하나의 공급업체로 해결하려는 경우입니다. 유의할 점은 종속성 탐지가 잠금 파일 기반이며, 서명된 SLSA Level 3 증명을 GitLab이 실험 기능으로 분류한다는 것입니다.

CRACI vs GitLab CI

CircleCI

GitHub, GitLab, Bitbucket과 연결되는 성숙하고 유연한 호스팅형 CI/CD 플랫폼입니다. Docker, Linux, Arm, Windows, macOS, GPU 리소스 클래스에서 작업을 실행하며, 자체 머신용 셀프 호스팅 러너도 제공합니다. Docker 레이어 캐싱은 모든 플랜에서 제공되며, 테스트 분할 기능이 실행 시간 데이터를 기준으로 테스트 스위트를 병렬 실행기에 분배합니다. 공급망 관련 가이드는 컨텍스트와 OIDC를 이용한 자격 증명 보호에 초점을 둡니다. 2026년 9월 기준 Free 플랜에는 월 30,000크레딧이 포함됩니다. 적합한 대상은 여러 플랫폼이 혼재된 환경과 대규모 테스트 스위트입니다. 유의할 점은 SBOM과 스캔이 직접 연결하는 orb와 도구에서 나온다는 것입니다.

CRACI vs CircleCI

Buildkite

하이브리드 플랫폼입니다. Buildkite의 SaaS 컨트롤 플레인이 오케스트레이션을 담당하고, 작업을 실행하는 에이전트는 고객의 인프라에 있으므로 소스 코드와 시크릿이 고객 환경 안에 머뭅니다. 호스팅 에이전트도 제공되며, 2026년 9월 기준 Linux에서 vCPU 분당 $0.004입니다. 서명된 파이프라인을 사용하면 에이전트가 업로드 후 수정된 작업을 거부할 수 있고, Test Engine이 불안정한 테스트와 테스트 분할을 처리합니다. 적합한 대상은 자체 하드웨어나 네트워크에서 실행되어야 하는 빌드입니다. 유의할 점은 빌드 보안을 직접 설계해야 한다는 것입니다. Buildkite 자체 가이드도 에이전트에 엄격한 네트워크 이그레스 제어를 적용하라고 안내합니다.

CRACI vs Buildkite

CRACI의 위치

CRACI는 CI 플랫폼을 대체하는 것이 아니라 GitHub Actions에 더하는 제품입니다. GitHub에서 흔한 구성은 모든 풀 리퀘스트에 GitHub Advanced Security와 Dependabot을 적용하고, 각 빌드를 기록하고 이그레스 정책을 적용하는 러너로 CRACI를 쓰는 것입니다. 모니터링 대상 SBOM은 새로운 취약점이 나타날 때마다 재평가되며, 취약점을 포함해 CycloneDX 또는 SPDX로 내보낼 수 있습니다. CRACI는 기업이 더 넓은 Cyber Resilience Act 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다.

파이프라인이 GitLab CI, CircleCI 또는 Buildkite에 있다면, CRACI를 사용하려면 해당 파이프라인을 GitHub Actions로 옮겨야 합니다. GitLab CI와 Jenkins는 로드맵에 있습니다. 다음과 같은 경우에는 CRACI가 적합하지 않습니다.

코드, 계획, CI, 스캔을 하나의 플랫폼에서 다루고 싶은 경우. GitLab이 바로 그런 용도로 만들어졌습니다.
빌드가 자체 하드웨어나 네트워크에서 실행되어야 하는 경우. Buildkite와 셀프 호스팅 러너가 적합합니다. CRACI는 현재 관리형으로 제공되며, Enterprise용 고객 호스팅 러너는 로드맵에 있습니다.
Windows, macOS 또는 GPU 빌드가 필요한 경우. CRACI는 현재 Linux만 지원하며, Windows와 macOS는 로드맵에 있습니다.
지금 바로 문서화된 SLSA 레벨이 필요한 경우. GitHub의 아티팩트 증명이 이를 제공합니다.

CRACI 요금과 CI/CD 통합을 확인하세요.

도구별 CRACI 비교

나란히 비교

제품 하나가 아니라 카테고리를 고를 때 유용하도록 여러 도구를 한 페이지에 모았습니다.

GitHub Actions 러너 비교 GitHub 호스팅, CRACI, Blacksmith, Depot, Namespace, WarpBuild를 나란히 비교합니다.

CI/CD 도구 및 플랫폼 비교