CRACI vs Namespace: CI 러너 비교

간단한 답변

Namespace는 개발자 인프라입니다. 관리형 GitHub Actions 러너, 원격 Docker 빌더, 캐시 볼륨, Bazel 원격 실행, 클라우드 개발 환경을 모두 Namespace가 직접 운영하는 하드웨어에서 제공합니다. CRACI는 공급망 보안을 중심으로 만든 GitHub Actions 호환 러너입니다. 모든 작업은 실제로 가져온 것을 담은 SBOM을 생성하며 이그레스 정책 아래에서 실행됩니다.

두 제품 모두 빌드가 네트워크에서 접근하는 대상을 제한할 수 있으며, Namespace의 이그레스 정책은 잘 설계되어 있습니다. 차이는 러너에서 그 밖에 무엇이 일어나느냐입니다. Namespace는 속도, 플랫폼, 캐싱에 집중하고, CRACI는 빌드를 기록해 그 기록을 취약점 모니터링과 CRA 증거로 이어 갑니다. 둘 다 GitHub 호스팅 러너를 대체하므로 하나를 선택하게 됩니다.

한눈에 보기

기능	CRACI	Namespace
각 작업이 가져온 것의 기록	패키지를 인식하는 프록시가 모든 작업을 기록
빌드 시점 SBOM	작업별, 완전성 상태 표시
러너의 이그레스 정책	패키지 소스 프리셋, 작업 전에 검증	러너 프로필별 도메인 규칙
권고(로그 전용) 이그레스 모드		차단하지 않고 판정만 기록
CRA 증거 및 보고서	CycloneDX 또는 SPDX 형식 SBOM, API를 통한 기록, CRA 통지 내용 준비, 보고서 내보내기는 없음
Windows 및 macOS 러너	현재 Linux만 지원	Team 요금제부터 Windows 지원
캐싱	GitHub Actions 캐시 및 컨테이너 레이어 캐싱	캐시 볼륨, Docker, Bazel, Turborepo
가격, 2 vCPU Linux	분당 $0.004(RAM 6 GB). ARM64도 같은 요금.	요금제 포함분 분당 $0.002, 초과분 $0.003(RAM 4 GB).
측정 방식	초 단위, 가장 가까운 초로 반올림.	최소 1분, 이후 분 단위로 반올림.
요금제	2 vCPU 분당 $0.004, 초 단위 측정. 월 요금 없음.	종량제, Team 월 $100, Business 월 $250.

포함
일부 지원
미포함
로드맵에 포함

Namespace의 강점

플랫폼. AMD64(AMD EPYC)와 ARM64(AmpereOne, 얼리 액세스로 Apple Silicon)의 Linux, AMD EPYC의 Windows, Apple M5 Max 또는 M4 Pro의 macOS를 지원합니다. Windows 러너는 Team 요금제 이상에서 제공됩니다.
러너 프로필. 대시보드에서 운영체제와 머신 사양으로 프로필을 만든 다음 runs-on에서 참조합니다. Linux에서는 최대 64 vCPU까지 사양을 선택할 수 있으며, Namespace는 지원팀을 통해 최대 512 GB RAM까지 사용할 수 있다고 밝힙니다.
캐싱. 캐시 볼륨은 실행 간에 데이터를 로컬 스토리지에 유지하므로, 작업마다 캐시 아카이브를 업로드하고 내려받지 않아도 됩니다. Namespace는 Docker 빌드 캐싱, Bazel 원격 캐시 및 실행, Turborepo와 Gradle 캐시도 제공합니다.
이그레스 정책. 정책은 허용되지 않은 모든 것을 거부하는 BLOCK 모드, 또는 차단하지 않고 같은 판정을 기록해 실제 트래픽으로 허용 목록을 만들 수 있게 하는 ADVISORY 모드로 실행됩니다. 규칙은 도메인을 기준으로 매칭되며, 관리형 github-actions 규칙 세트가 러너의 정상 작동을 유지하고, 심층 패킷 검사를 사용하면 정책이 요청 헤더에 시크릿을 주입하거나 트래픽을 프록시로 라우팅할 수 있습니다. 대시보드는 허용 및 거부된 요청을 도메인별로 묶어 보여 주며, 인스턴스마다 자체 이그레스 뷰가 있습니다.
신뢰. Namespace는 SOC 2 Type II를 보유하고 있으며 보고서는 Trust Center에서 볼 수 있고, 엔터프라이즈 요금제에서는 리전 전용 데이터 레지던시를 제공합니다.

Namespace는 DuckDB가 CI를 "10배 빠르게" 실행한다는 등의 고객 사례 결과를 공개합니다. 이는 해당 고객에 대한 Namespace의 수치입니다.

CRACI의 차별점

CRACI는 빌드를 출시하는 소프트웨어에 대한 진실의 원천으로 다룹니다.

빌드가 가져온 것의 기록

각 작업이 실행되는 동안 패키지를 인식하는 프록시가 패키지 소스로 가는 트래픽을 기록합니다. 대상은 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋입니다. 종속성 증거는 CI 캐시와 함께 전달되므로, 캐시에서 복원된 패키지도 계속 집계됩니다. CycloneDX 또는 SPDX로 생성되는 각 작업의 SBOM에는 작업과 캐시마다 완전성 상태가 표시됩니다. Namespace의 이그레스 로그는 러너가 어떤 도메인에 접속했는지 알려 줍니다. CRACI의 기록은 빌드가 그 도메인에서 어떤 패키지와 버전을 가져왔는지 알려 줍니다.

이그레스 정책의 공정한 비교

CRACI 정책은 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, HTTPS 및 SSH 기반 Git용 유형별 사용자 지정 소스, 명시적인 TLS, TCP, UDP, ICMP 규칙을 제공합니다. 정책은 작업 시작 전에 검증되고, 실패 시 차단되며, 알 수 없는 필드를 거부하고, 위반이 발생하면 알림을 보냅니다.

Namespace가 앞서는 부분은 두 가지입니다. 권고 모드로 정책을 적용하기 전에 관찰할 수 있는데, CRACI의 모니터 모드는 아직 로드맵에 있습니다. 또한 시크릿 주입과 프록시 규칙에 해당하는 기능이 CRACI에는 없습니다. CRACI가 다른 점은 소스를 도메인 목록이 아니라 패키지 생태계와 프로토콜별 유형으로 지정한다는 것, 그리고 정책 아래에서 실행되는 바로 그 작업이 가져온 패키지의 기록도 생성한다는 것입니다.

출처 증명과 모니터링

출처 증명 데이터. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않으며 SLSA 레벨을 주장하지 않습니다.
출시한 것의 모니터링. 모니터링 중인 SBOM을 새로운 취약점에 대해 지속적으로 재평가하고, 빌드와 리포지토리 전반의 탐지 결과를 집계합니다.

가격과 사양

Namespace는 유닛 분 단위로 청구하며, Linux에서 1 유닛은 1분 동안의 1 vCPU와 2 GB RAM입니다. 2026년 9월 기준, 2 vCPU, 4 GB Linux 러너는 요금제 포함 분 내에서 분당 $0.002, 초과분은 분당 $0.003입니다. Team 요금제는 월 $100에 100,000 유닛 분, Business는 월 $250에 250,000 유닛 분입니다. Windows는 Linux 요금의 2배, macOS는 10배로 분을 소모합니다. 사용량은 작업당 최소 1분이 적용되고 이후 분 단위로 반올림되며, Namespace의 예시에서는 150초가 3분으로 청구됩니다.

CRACI는 vCPU 분당 $0.002로 청구하므로, RAM 6 GB의 2 vCPU 러너는 분당 $0.004이며 ARM64도 같은 요금입니다. 초 단위로 측정되고 월 요금은 없습니다. Namespace의 분당 정가가 더 낮지만, 작업당 최소 1분이 적용됩니다. Namespace의 표준 사양은 vCPU당 RAM 2 GB, CRACI는 3 GB이므로, 비교하기 전에 빌드에 필요한 사양을 맞추세요. 최신 조건은 CRACI 요금을 참고하세요.

어떤 도구가 맞을까

Namespace가 더 적합한 경우

macOS나 Windows 러너가 필요한 경우. CRACI는 현재 Linux만 지원하며, Windows와 macOS는 로드맵에 있습니다.
이그레스 정책을 적용하기 전에 권고 모드로 시험해 보고 싶은 경우
Bazel 원격 실행이나 캐시 볼륨에 의존하는 경우
Buildkite 에이전트나 클라우드 개발 환경도 운영하며 공급업체를 하나로 통일하고 싶은 경우

CRACI가 더 적합한 경우

릴리스에 무엇이 들어갔는지를 빌드 자체에서 완전성 상태와 함께 보여 주어야 하는 경우
출시된 SBOM의 모니터링을 한곳에서 하고 싶은 경우
Cyber Resilience Act 대응을 위한 증거가 필요한 경우
CRACI Enterprise 요금제에서 제공하는 EU 데이터 레지던시가 필요한 경우

Cyber Resilience Act 대응

Cyber Resilience Act는 제조사가 제품의 구성 요소를 파악하고, 그 취약점을 처리하며, 증거를 보관하도록 요구합니다. Namespace의 제품은 빠른 CI 및 개발 인프라입니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. CycloneDX 또는 SPDX로 내보내는 빌드 시점 SBOM, 취약점 추적, API를 통한 출처 증명이 여기에 해당합니다. CRA 증거를 참고하세요.

Namespace에서 CRACI로 전환하기

모든 리포지토리 또는 선택한 리포지토리에 대한 액세스 권한으로 조직에 CRACI GitHub App을 설치한 다음, 작업의 러너 레이블을 변경하세요.

runs-on: craci

작업을 하나씩 옮기면서 SBOM과 네트워크 추적을 확인하고, CI/CD 통합과 빌드 시점 SBOM 생성에 대해 자세히 알아보세요.

캐시, OIDC 신뢰 정책, IP 허용 목록, 폴백은 GitHub Actions 러너 제공업체 전환 방법을 참조하세요.