CRACI와 CircleCI 비교 | 호스팅 CI와 빌드 증거

간단한 답

CircleCI는 성숙하고 유연한 CI/CD 플랫폼입니다. GitHub, GitLab, Bitbucket과 연결되고, Docker 컨테이너부터 macOS와 GPU까지 다양한 머신에서 작업을 실행하며, 재사용 가능한 구성을 orb로 패키징할 수 있습니다. 보안 측면에서 CircleCI는 자격 증명을 보호하고, 스캔은 orb와 서드파티 도구에 맡깁니다.

CRACI는 다른 접근 방식을 택합니다. 러너 자체가 보안 기록입니다. CRACI는 GitHub Actions 작업을 실행하고, 각 빌드가 가져오는 모든 외부 종속성을 관찰하며, 빌드 네트워크에 이그레스 정책을 적용하고, 관찰한 내용으로 SBOM, 출처 증명 데이터, CRA 증거를 생성합니다. 이것이 기존 CI와 보안을 인식하는 CI의 차이입니다.

CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. CircleCI는 아직 지원되지 않습니다. CircleCI를 사용하는 팀이 CRACI 러너를 쓰려면 파이프라인을 GitHub Actions로 옮기거나, 로드맵에 있는 다른 CI 시스템 지원을 기다려야 합니다.

기능	CRACI	CircleCI
관찰된 종속성 기반 빌드 시점 SBOM	모든 작업, 완전성 상태 및 캐시된 패키지 포함	직접 추가하는 orb를 통한 종속성 스캔
빌드 네트워크 이그레스 정책	기본 거부 또는 허용, 실패 시 차단	IP 범위 기능으로 작업에 알려진 출발지 주소 부여(Performance 및 Scale 플랜).
취약점 모니터링	모니터링 중인 SBOM 재평가	서드파티 스캐너 orb를 통해
소스 관리 제공업체	현재 GitHub Actions만 지원	GitHub, GitLab, Bitbucket
실행 환경	x86-64 및 ARM64 기반 Linux VM	Docker, Linux, Arm, Windows, macOS, GPU
셀프 호스팅 러너	고객 호스팅 러너, Enterprise	Linux, Windows, macOS, Kubernetes
실행 시간 데이터 기반 테스트 분할		실행 시간 기준으로 병렬 실행기에 분할
Docker 레이어 캐싱	로컬, 원격, 바인드 마운트 레이어 캐시	모든 플랜, 작업 실행당 200크레딧
가격, 2 vCPU Linux	분당 $0.004(vCPU 분당 $0.002), 초 단위 측정.	Linux VM medium(2 CPU, 7.5 GB)은 분당 10크레딧으로, 25,000크레딧당 $15 기준 약 $0.006입니다.
플랜	빌드 분당 과금: 2 vCPU 분당 $0.004, 초 단위 측정. 월 요금 및 SBOM당 요금 없음.	Free는 월 30,000크레딧 포함, Performance는 월 $15부터, Scale은 맞춤 가격(2026년 9월 기준).

포함
일부 지원
미포함
로드맵에 포함

CircleCI가 잘하는 것

폭넓은 컴퓨팅 선택지. CircleCI는 Docker, Linux VM, Arm, Windows, macOS, GPU 리소스 클래스를 제공하므로 하나의 플랫폼에서 백엔드, Windows 클라이언트, iOS 앱을 빌드할 수 있습니다. 셀프 호스팅 러너는 이를 자체 Linux, Windows, macOS 머신과 Kubernetes로 확장하며, 러너 작업 시간은 크레딧을 소비하지 않습니다.

속도 기능. Docker 레이어 캐싱은 모든 플랜에서 제공됩니다. 테스트 분할은 이름, 파일 크기 또는 과거 실행 시간 데이터를 기준으로 테스트 스위트를 병렬 실행기에 분산해, 대규모 테스트 스위트의 실제 소요 시간을 줄입니다.

재사용 가능한 구성. orb는 작업, 명령, 실행기를 패키징해 팀이 프로젝트 전반에서 재사용할 수 있게 하며, 보안 스캐너를 포함한 서드파티 도구를 손쉽게 연결할 수 있게 합니다.

자격 증명 관리. CircleCI의 공급망 가이드는 시크릿 보호에 초점을 맞춥니다. 시크릿을 컨텍스트로 나누고, 배포 및 서명 키는 VCS 그룹이 관리하는 제한된 컨텍스트에 두며, OIDC 토큰을 사용해 CircleCI에 장기 자격 증명을 저장하지 않고도 작업이 클라우드 서비스에 접근하도록 합니다.

CRACI의 차이점

빌드가 진실의 원천입니다

기존 CI 플랫폼에서는 파이프라인에 추가한 도구가 SBOM을 생성하며, 이 도구는 대개 매니페스트와 잠금 파일을 읽습니다. CRACI는 대신 빌드를 관찰합니다. 작업이 실행되는 동안 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋 전반에서 패키지 소스로 향하는 트래픽을 기록합니다. 종속성 증거는 CI 캐시와 함께 전달되므로, 캐시에서 복원된 패키지도 집계됩니다.

SBOM이 얼마나 완전한지 알 수 있습니다

모든 작업은 작업별·캐시별 완전성 상태가 포함된 CycloneDX 또는 SPDX SBOM을 생성합니다. 상태는 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나입니다.

빌드 네트워크에 정책이 있습니다

CircleCI의 IP 범위 기능은 작업을 알려진 CircleCI 주소를 통해 라우팅해, 자체 시스템이 이를 허용 목록에 넣을 수 있게 합니다. 이는 인바운드 접근 문제를 해결합니다. CRACI는 반대 방향의 통제를 더합니다. 작업별 이그레스 정책으로 기본 거부 또는 기본 허용, 24개의 기본 제공 소프트웨어 소스 프리셋, 유형별 사용자 지정 소스, 명시적 TLS, TCP, UDP, ICMP 규칙을 지원합니다. 정책은 작업 시작 전에 검증되고 실패 시 차단됩니다. CRACI는 고정된 이그레스 IP 범위도 제공합니다.

같은 기록에서 나오는 출처 증명과 모니터링

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 모니터링 중인 SBOM을 계속 재평가합니다.

어느 쪽이 적합합니까

CircleCI를 유지하세요. 코드가 GitLab이나 Bitbucket에 있거나, Windows, macOS, GPU 빌드에 의존하거나, 자체 하드웨어에서 작업을 실행한다면 그렇습니다.
CRACI를 고려하세요. 코드가 GitHub에 있고 GitHub Actions와 CircleCI를 저울질하고 있으며, 각 릴리스에 무엇이 들어갔는지 보여 줘야 하는 소프트웨어를 출시한다면 그렇습니다.
둘 다 사용하세요. 단계적으로 이전하는 동안 macOS와 Windows 파이프라인은 CircleCI에 두고, 빌드 증거가 가장 중요한 Linux GitHub Actions 워크플로는 CRACI에서 실행합니다.

Cyber Resilience Act 대응

EU Cyber Resilience Act는 제조사가 각 릴리스에 무엇이 들어 있는지 파악하고 그 취약점을 처리할 것을 요구하며, 보고 의무는 2026년 9월부터, 전면 적용은 2027년 12월부터입니다. CircleCI에서는 그 증거가 파이프라인에 연결한 스캐너와 orb에서 나옵니다. CRACI는 빌드 기록으로 증거를 생성하고, 취약점을 포함해 SBOM을 CycloneDX 또는 SPDX로 내보냅니다. 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다.

파이프라인을 CRACI로 옮기기

CRACI는 GitHub Actions 워크플로를 실행하므로, CircleCI 파이프라인은 먼저 이에 상응하는 GitHub Actions 워크플로가 있어야 합니다. 준비가 되면 조직에 CRACI GitHub App을 설치하고 러너 레이블을 설정하세요.

runs-on: craci

실행 내역은 계속 GitHub UI에 표시됩니다. 작업에는 Docker Engine, Buildx, Compose v2가 제공되고, 러너 크기는 1~32 vCPU이며 vCPU당 RAM 3 GB가 할당되고, GitHub Actions 캐시를 지원합니다. 빌드 시점 SBOM 생성에 대해 자세히 알아보거나, 요금과 스타트업 프로그램을 확인하세요.