CRACI vs Depot | 러너와 빌드 증거 비교

간단한 답변

Depot은 빌드 가속 서비스입니다. GitHub Actions 러너, 영구 레이어 캐시를 갖춘 원격 Docker 빌드 서비스, Bazel과 Gradle 같은 도구를 위한 원격 캐시, 자체 CI 엔진을 제공합니다. CRACI는 공급망 보안을 중심으로 설계된 GitHub Actions 호환 러너입니다. 모든 작업은 실제로 가져온 내용의 SBOM을 생성하고, 사용자가 정의한 이그레스 정책 아래에서 실행됩니다.

한 줄로 요약하면, Depot은 빌드 실행 속도를 최적화하고 CRACI는 빌드에 들어가는 것을 기록하고 통제합니다. 둘 다 GitHub 호스팅 러너를 대체하므로 하나를 선택하게 됩니다.

한눈에 보기

기능	CRACI	Depot
각 작업이 가져온 내용의 기록	패키지를 인식하는 프록시가 모든 작업을 기록
SBOM	작업별, 완전성 상태 포함	depot build 이미지에 대한 Syft SPDX 스캔
러너의 이그레스 정책	패키지 소스 프리셋, 작업 전에 검증	허용 및 거부 규칙, Linux 러너
빌드 출처 증명	API로 출처 증명 데이터 제공, 서명 없음	이미지에 대한 BuildKit 증명
출시된 SBOM 모니터링	지속적인 취약점 재평가
CRA 증거 및 보고서	CycloneDX 또는 SPDX SBOM, API로 기록 제공, 보고서 내보내기 없음
Docker 이미지 빌드 가속	로컬, 원격, 바인드 마운트 레이어 캐시	원격 BuildKit, 영구 NVMe 캐시
Windows 및 macOS 러너	현재 Linux만 지원	모든 플랜에서 Windows 및 macOS
고객 클라우드 내 러너	고객 호스팅 러너, Enterprise	고객의 AWS 계정, Business 플랜
요금, 2 vCPU Linux	분당 $0.004 (6 GB RAM). ARM64도 같은 요율.	포함된 시간 초과 시 분당 $0.006 (8 GB RAM). Arm도 같은 요율.
플랜	2 vCPU 분당 $0.004, 초 단위 측정. 월 요금 없음.	Developer 월 $20 (2,000분), Startup $200 (20,000분).

포함
일부 지원
미포함
로드맵에 포함

Depot의 강점

Depot은 폭넓고 문서화가 잘 된 러너 및 빌드 플랫폼을 구축했습니다. Depot 자체 문서의 주요 내용은 다음과 같습니다.

다양한 러너 카탈로그. AMD EPYC(Intel 레이블)와 AWS Graviton4(Arm) 기반 Linux 러너를 2 vCPU, 8 GB RAM부터 64 vCPU, 256 GB까지 제공하며, Windows Server 2022 및 2025, 그리고 모든 플랜에서 macOS 러너를 제공합니다.
캐시. 러너는 Depot의 분산 캐시에 연결되어 있으며, Depot은 업로드 및 다운로드 속도가 최대 1000 MiB/s에 이른다고 밝힙니다. Depot은 자사 러너가 "GitHub 호스팅 러너보다 최대 3배 빠르고" "캐시가 10배 빠르다"고 설명합니다.
Docker 빌드. depot build는 docker build를 그대로 대체하는 명령으로, 팀 전체가 공유하는 영구 NVMe 레이어 캐시를 갖춘 원격 BuildKit 호스트에서 실행되며, QEMU 에뮬레이션 없이 x86과 Arm 이미지를 네이티브로 빌드합니다. Depot은 이것이 로컬이나 CI 제공업체에서 빌드하는 것보다 최대 40배 빠르다고 밝힙니다.
격리. 각 GitHub Actions 작업은 재사용되지 않는 새로운 단일 테넌트 EC2 인스턴스에서 실행됩니다.
이그레스 필터링. IP, CIDR, 호스트 이름에 대한 허용 및 거부 규칙과, 허용 또는 거부로 설정하는 기본 규칙을 제공합니다. 현재 Linux 러너에 적용됩니다.
엔터프라이즈 옵션. Business 플랜에서는 Depot Managed가 데이터 플레인을 고객의 AWS 계정에 배포하며, AWS PrivateLink, 고정 아웃바운드 IP, SSO를 제공합니다. Depot은 SOC 2 Type II 보고서를 보유하고 있다고 밝힙니다.

Docker 이미지 빌드 시간이 CI의 주된 병목이라면, Depot은 바로 그 문제를 위해 만들어졌습니다.

CRACI가 다른 점

CRACI는 빌드를 출시하는 내용에 대한 신뢰할 수 있는 원천으로 다룹니다. 러너는 그 증거가 수집되는 곳입니다.

빌드가 가져온 내용의 기록

각 작업이 실행되는 동안 패키지를 인식하는 프록시가 패키지 소스로 가는 트래픽을 기록합니다. 대상은 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋입니다. 종속성 증거는 CI 캐시와 함께 전달되므로, 캐시에서 복원된 패키지도 계속 집계됩니다. CycloneDX 또는 SPDX 형식의 각 작업 SBOM에는 작업별 및 캐시별 완전성 상태가 담겨 있어, 기록이 완전한 경우와 그렇지 않은 경우를 알 수 있습니다.

Depot도 SBOM을 생성할 수 있습니다. --sbom=true를 depot build에 추가하면 Syft로 SPDX SBOM을 생성합니다. 이는 빌드가 만든 이미지에 대한 스캔입니다. CRACI의 기록은 이미지에 들어가지 않는 빌드 도구와 패키지, 그리고 이미지를 전혀 빌드하지 않는 작업까지 포함해 작업 전체를 다룹니다.

소프트웨어 소스를 위해 설계된 이그레스 정책

두 제품 모두 러너에서 예상치 못한 아웃바운드 트래픽을 차단할 수 있습니다. CRACI 정책은 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, HTTPS 및 SSH를 통한 Git에 대한 유형별 사용자 지정 소스, 그리고 명시적인 TLS, TCP, UDP, ICMP 규칙을 제공합니다. 정책은 작업 시작 전에 검증되고, 실패 시 차단(fail closed)되며, 위반 시 알림을 보냅니다. Depot의 규칙은 IP, CIDR, 호스트 이름 수준에서 작동하므로, 그것만 필요하다면 더 이해하기 쉽습니다.

출처 증명과 모니터링

출처 증명 데이터. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않습니다. Depot 이미지 빌드는 --provenance 플래그로 설정하는 BuildKit 출처 증명을 첨부할 수 있습니다.
출시된 내용의 모니터링. 모니터링 중인 SBOM은 새로운 취약점에 대해 지속적으로 재평가되며, 발견 사항은 빌드와 리포지토리 전반에서 집계됩니다.

요금과 크기

2026년 11월 기준으로 Depot은 플랜에 포함된 시간을 초과하면 2 vCPU, 8 GB Linux 러너에 분당 $0.006를 청구하며, 더 큰 크기는 선형으로 늘어나 32 vCPU는 분당 $0.096입니다. Developer 플랜은 GitHub Actions 2,000분이 포함된 월 $20, Startup 플랜은 20,000분이 포함된 월 $200입니다. Depot은 실행당 1분 최소 과금 없이 초 단위로 사용량을 추적하며, 7일 무료 체험을 제공합니다.

CRACI는 vCPU 분당 $0.002를 청구하므로 2 vCPU는 분당 $0.004, 32 vCPU는 분당 $0.064이며, ARM64도 같은 요율입니다. 초 단위로 측정하며 월 요금은 없습니다. Depot 플랜 포함 시간을 초과하는 사용량 기준으로, 모든 크기에서 분당 약 33% 저렴합니다. 비교 전에 메모리를 맞추세요. CRACI 컴퓨팅 단위는 vCPU당 3 GB RAM이고, Depot 러너는 vCPU당 4 GB입니다. 최신 조건은 CRACI 요금을 참조하세요.

어느 쪽이 적합한가

Depot이 더 적합한 경우

Docker 이미지 빌드가 CI 시간의 대부분을 차지하는 경우.
Windows 또는 macOS 러너가 필요한 경우. CRACI는 현재 Linux만 지원하며, Windows와 macOS는 로드맵에 있습니다.
자사 AWS 계정 안에서 러너가 필요한 경우. CRACI는 아직 고객 호스팅 러너를 제공하지 않으며, Enterprise용으로 로드맵에 있습니다.
Bazel, Gradle, Turborepo 또는 sccache의 원격 캐시에 의존하는 경우.

CRACI가 더 적합한 경우

릴리스에 무엇이 들어갔는지 빌드 자체를 근거로, 완전성 상태와 함께 보여 줘야 하는 경우.
각 작업 전에 검증되는, 패키지 소스 단위의 빌드 이그레스 통제가 필요한 경우.
출시된 SBOM의 모니터링을 한곳에서 하고 싶은 경우.
EU 데이터 레지던시가 필요한 경우. CRACI Enterprise 플랜에서 제공됩니다.

Cyber Resilience Act 대응

EU Cyber Resilience Act은 제조사에게 제품의 구성 요소를 파악하고, 그 안의 취약점을 처리하며, 증거를 보관하도록 요구합니다. Depot의 제품은 빌드 인프라이며, 문서는 속도, 캐시, 격리에 초점을 맞춥니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 빌드 시점 SBOM, 취약점 추적, 출처 증명, 그리고 CycloneDX 또는 SPDX로의 SBOM 내보내기입니다.

Depot에서 CRACI로 전환하기

조직에 CRACI GitHub App을 설치하고 모든 리포지토리 또는 선택한 리포지토리에 접근 권한을 부여한 다음, 작업의 러너 레이블을 변경하세요.

runs-on: craci

워크플로와 GitHub UI는 그대로 유지됩니다. 출시하는 것을 빌드하는 작업부터 시작해 한 번에 작업 하나씩 옮기세요. 해당 작업의 SBOM과 네트워크 추적을 확인한 뒤, 필요한 소스를 허용하는 이그레스 정책을 작성하세요. CI/CD 통합과 빌드 시점 SBOM 생성에 대해 자세히 알아보세요.

캐시, OIDC 신뢰 정책, IP 허용 목록, 폴백은 GitHub Actions 러너 제공업체 전환 방법을 참조하세요.