CRACI vs Jenkins

간단한 답변

Jenkins는 스스로를 "선도적인 오픈 소스 자동화 서버"라고 부르며, 그럴 만한 이유가 있습니다. 설치하는 곳 어디서나 실행되고, 제공하는 머신 수만큼 작업을 분산하며, 2,300개가 넘는 커뮤니티 플러그인으로 거의 모든 도구와 연결됩니다. 빌드가 전적으로 자사 네트워크 안에 머물러야 하거나, 파이프라인이 다른 곳에 대응하는 기능이 없는 플러그인에 의존한다면 Jenkins는 대체하기 어렵습니다.

CRACI는 성격이 다른 제품입니다. GitHub Actions용 관리형 러너이므로 업그레이드할 컨트롤러도, 패치할 에이전트도 없습니다. 각 작업이 실행되는 동안 CRACI는 빌드가 가져오는 모든 외부 종속성을 기록하고, 빌드 네트워크에 이그레스 정책을 적용하며, 그 기록으로 SBOM, 출처 증명 데이터, 취약점 모니터링을 제공합니다. Jenkins도 직접 선택하고 구성하고 최신 상태로 유지하는 플러그인으로 그중 일부를 할 수 있지만, CRACI는 러너 자체를 보안 기록으로 만듭니다.

먼저 짚어야 할 현실적인 사항이 있습니다. CRACI는 현재 GitHub Actions를 지원하며, Jenkins와 GitLab CI는 로드맵에 있고 일정은 정해지지 않았습니다. 지금 CRACI에서 실행하려면 Jenkins 파이프라인을 먼저 GitHub Actions 워크플로로 옮겨야 합니다.

한눈에 보기

Jenkins의 강점

필요한 곳에서 실행. Jenkins는 SaaS 제어 플레인 없이 자사 서버와 자사 네트워크에서 실행됩니다. 에이전트는 Linux, Windows, macOS 등 연결할 수 있는 어떤 머신이든 될 수 있으므로, 하나의 컨트롤러로 백엔드, 데스크톱 클라이언트, 펌웨어를 모두 빌드할 수 있습니다.

거의 모든 것을 위한 플러그인. 플러그인 생태계는 Jenkins의 가장 큰 강점입니다. 소스 제어, 빌드 도구, 테스트 보고서, 배포 대상, 보안 스캐너 모두 플러그인이 있으며, 특이한 툴체인을 쓰는 팀은 이미 지원하는 CI가 Jenkins뿐인 경우가 많습니다.

라이선스 비용 없음. Jenkins는 무료 오픈 소스입니다. 비용은 실행되는 머신과 팀이 운영에 들이는 시간입니다.

CRACI의 차별점

운영할 것이 없음

Jenkins 설치는 팀이 직접 소유하는 시스템입니다. 컨트롤러, 에이전트, 플러그인, 업그레이드가 모두 여기에 포함됩니다. Jenkins 프로젝트는 코어와 플러그인에 대한 보안 권고를 자주 발표하며, 2026년에는 한 달에 여러 건이 나왔습니다(예: 9월 2일과 16일, 8월 5일). 각 권고를 적용하는 것은 사용자의 몫입니다. CRACI는 작업당 VM 하나씩 격리된 가상 머신의 관리형 러너에서 작업을 실행하므로, 패치해야 할 빌드 서버가 없습니다.

SBOM은 빌드에서 나옵니다

Jenkins에서는 SBOM이 직접 추가한 플러그인이나 스캐너 단계에서 나오며, 이들은 보통 사후에 매니페스트와 잠금 파일을 읽습니다. 빌드는 이 파일들이 말하는 것보다 많은 일을 하는 경우가 많습니다. 설치 스크립트는 코드를 내려받고, 빌드 스크립트는 빌드 시점에 가져오며, 캐시는 어떤 잠금 파일에도 없는 패키지를 복원합니다. CRACI는 러너이기 때문에 이 트래픽을 볼 수 있습니다. 패키지를 인식하는 프록시가 각 작업이 패키지 소스에서 가져오는 것을 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스 전반에서 기록하며, 종속성 증거는 CI 캐시와 함께 전달됩니다. 각 CycloneDX 또는 SPDX SBOM은 작업과 캐시마다 얼마나 완전한지를 표시합니다.

빌드 네트워크에 적용되는 정책

Jenkins에서 빌드가 접근할 수 있는 대상을 제어하려면, 에이전트 주변에 방화벽 규칙이나 프록시를 직접 설계하고 유지해야 합니다. CRACI에서는 각 작업의 이그레스 정책이 접근 가능한 호스트를 결정합니다. 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 유형별 사용자 지정 소스를 제공하고, 작업 시작 전에 검증됩니다. 정책은 실패 시 차단되며, 위반이 발생하면 알림이 전송됩니다.

출시한 소프트웨어 모니터링

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 권고가 발표될 때마다 모니터링 중인 SBOM을 계속 재평가하며, 과거의 어떤 빌드에 취약한 종속성이 포함되었는지 보여 주므로 영향을 받은 기간을 알 수 있습니다.

빌드 분 단위 요금

Jenkins는 라이선스 비용이 없지만 운영 비용이 없는 것은 아닙니다. 유휴 상태든 작업 중이든 컨트롤러와 에이전트 비용, 그리고 이를 최신 상태로 유지하는 인력 비용을 부담합니다. CRACI는 빌드 분에 대해서만 과금합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며, 초 단위로 측정되고 월 요금나 SBOM당 요금은 없습니다.

어떤 도구가 맞을까

• 빌드가 전적으로 자사 인프라에서 실행되어야 하거나, GitHub Actions에 대응 기능이 없는 플러그인에 의존하거나, Windows 또는 macOS 빌드가 필요하거나, 운영할 인력이 있고 지금 잘 돌아가고 있다면 Jenkins를 유지하세요.
• 코드가 GitHub에 있고, 파이프라인을 GitHub Actions로 옮기고 있거나 옮길 준비가 되었으며, 빌드 서버 운영을 그만두면서 각 릴리스에 무엇이 들어갔는지 기록을 얻고 싶다면 CRACI를 선택하세요.
• 점진적으로 이전하는 동안에는 둘 다 사용하세요. 새 프로젝트와 Linux 파이프라인은 CRACI 기반 GitHub Actions로 옮기고, 안정적인 Jenkins 작업은 그대로 두면 됩니다.

지금 CRACI를 선택하면 포기하게 되는 것도 분명히 알아 두셔야 합니다. CRACI는 Linux 작업만 실행하며 Windows와 macOS는 로드맵에 있습니다. 고객 호스팅 러너는 Enterprise용으로 로드맵에 있으며, Jenkins 지원이 제공되기 전까지는 Jenkins 파이프라인을 GitHub Actions 워크플로로 바꿔야 합니다.

규제 대상 제품의 경우

EU Cyber Resilience Act 같은 프레임워크는 제조사가 각 릴리스에 무엇이 들어 있는지 파악하고 그 취약점을 처리하기를 요구하며, 2026년 9월부터 보고 의무가 적용됩니다. Jenkins에서는 이 증거가 각 파이프라인에 연결한 플러그인과 스캐너에서 나옵니다. CRACI는 빌드 기록에서 증거를 생성하고 SBOM을 CycloneDX 또는 SPDX로 내보냅니다. CRACI는 기업이 더 넓은 CRA 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어느 도구도 그것만으로 제품의 컴플라이언스를 충족시켜 주지는 않습니다.

파이프라인을 CRACI로 옮기기

GitHub의 GitHub Actions Importer는 Jenkins 파이프라인을 GitHub Actions 워크플로로 변환합니다. GitHub는 각 워크플로의 80%를 자동으로 변환하는 것을 목표로 하며, 변환된 모든 워크플로는 프로덕션에서 실행하기 전에 검토해야 한다고 밝히므로 어느 정도의 수작업을 계획해 두세요. 파이프라인이 GitHub Actions 워크플로로 실행되면, 한 줄로 CRACI에서 실행할 수 있습니다.

runs-on: craci

실행 내역은 계속 GitHub UI에 표시됩니다. 빌드 시점 SBOM 생성에 대해 자세히 알아보거나, Jenkins 대안을 살펴보거나, CI/CD 플랫폼을 비교하거나, 요금을 확인하세요.