CRACI vs Renovate

간단한 답변

Renovate는 종속성 위생 관리를 위해 만들어졌습니다. 패키지 파일을 찾아 업데이트 풀 리퀘스트를 열고, 일정, 그룹화, 자동 병합으로 노이즈를 줄일 수 있게 합니다. CRACI는 각 빌드가 가져온 것을 기록하고 그 SBOM에서 새로운 취약점을 모니터링하는 GitHub Actions 러너입니다. Renovate는 "새 버전이 있는가?"를 묻고, CRACI는 "우리가 빌드해 출시한 것 중 취약한 것이 있는가, 있다면 어디인가?"를 묻습니다. 두 도구는 같은 일을 두고 경쟁하지 않으며 나란히 실행됩니다. Renovate가 업데이트 풀 리퀘스트를 열고, CRACI는 어떤 빌드에 업데이트가 필요한지 알려 줍니다.

Renovate의 강점

Renovate 문서는 "자동화된 종속성 업데이트. 멀티 플랫폼, 멀티 언어."라는 문구로 시작하며, 두 가지 모두 실제로 해냅니다. Renovate는 리포지토리에서 "(공개 및 비공개) 종속성에 대한 참조를 찾고", 새 버전이 있으면 종속성과 잠금 파일을 업데이트하는 풀 리퀘스트를 엽니다.

• 폭넓은 지원. 90개 이상의 패키지 관리자와 GitHub, GitLab, Bitbucket, Azure DevOps, Gitea, Forgejo의 리포지토리를 지원하며, AWS CodeCommit, Gerrit, SCM-Manager는 실험적 지원으로 표시되어 있습니다.
• 세밀한 제어. 공유 가능한 설정 프리셋, 패키지별 동작을 위한 packageRules, 풀 리퀘스트가 나타나는 시점을 제한하는 일정, 신뢰하는 업데이트를 위한 자동 병합을 제공합니다. 문서에 따르면 대부분의 팀은 메이저 업데이트를 사람에게 맡깁니다.
• 가시성. config:recommended에서 기본으로 켜지는 Dependency Dashboard 이슈와, 어떤 업데이트를 받아들일지 판단하는 데 도움이 되는 정보(출시 후 경과 기간, 채택률, 통과율, 병합 신뢰도)를 제공합니다.
• 확장 범위. 사용자 지정 관리자로 독자적인 파일 형식과 Renovate가 아직 지원하지 않는 널리 쓰이는 형식을 처리합니다.
• 배포 방식 선택. AGPL-3.0 오픈 소스이며 Mend가 유지 관리합니다. CLI나 Docker 이미지를 직접 실행하거나, GitHub.com, Bitbucket Cloud, Azure DevOps Cloud에서 무료 Mend Renovate Community 클라우드 앱을 사용하거나, 셀프 호스팅 Community 에디션 또는 유료 Enterprise 에디션을 운영할 수 있습니다.

Renovate의 취약점 처리 방식

Renovate는 보안 수정에 두 가지 경로를 제공합니다. vulnerabilityAlerts를 사용하면 GitHub의 취약점 경고를 읽으며, 이를 위해서는 종속성 그래프와 Dependabot 경고가 활성화되어 있어야 합니다. 이 풀 리퀘스트는 일정과 시간당 제한을 무시하고 "새치기"하며, 기본적으로 수정된 가장 낮은 버전으로 올립니다. osvVulnerabilityAlerts를 사용하면 OSV 데이터베이스를 내려받아 오프라인으로 조회하며 종속성을 점검합니다. 문서는 한계를 정확히 밝힙니다. 나열된 데이터 소스에 대해 "OSV 기반 취약점 경고는 직접 종속성에 대해서만 받을 수 있습니다."

CRACI는 이 중 어느 것도 대체하지 않으며, 풀 리퀘스트를 열지도 않습니다. 최소한의 노력으로 수백 개의 리포지토리를 최신 상태로 유지하는 것이 목표라면 Renovate가 바로 그 목적으로 만들어졌습니다.

CRACI의 차별점

패키지 파일이 아니라 빌드에서 시작

Renovate는 리포지토리가 선언한 내용을 바탕으로 작동합니다. 빌드는 그보다 많은 일을 하는 경우가 많습니다. 설치 시점에 버전을 해석하고, 캐시에서 패키지를 복원하며, 어떤 매니페스트에도 나열되지 않은 도구, OS 패키지, 이미지를 내려받습니다. expressjs/express 5.2.1은 이 차이를 가장 분명하게 보여 줍니다. 잠금 파일을 커밋하지 않으므로, 깨끗한 체크아웃을 대상으로 한 생성 도구는 해석할 것이 없어 도구가 아무리 잘 작동해도 npm 종속성을 하나도 보고하지 못합니다. CRACI는 디렉터리를 스캔하는 대신 빌드를 기록하므로 이런 방식으로 비교할 수 없습니다. 리포지토리의 파일과 빌드의 패키지는 같은 목록이 아닙니다.

CRACI는 빌드를 실행합니다. runs-on을 craci로 바꾸면, 패키지를 인식하는 프록시가 각 작업이 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋에서 가져오는 것을 기록합니다. 모든 작업과 캐시에는 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나의 완전성 상태가 표시됩니다.

출시한 것을 모니터링

CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 새로운 보안 권고가 나올 때마다 모니터링 중인 SBOM을 계속 재평가합니다. 권고가 발표되면 어떤 매니페스트에도 없는 패키지를 포함해 영향받는 패키지를 실제로 사용한 빌드와 리포지토리를 확인할 수 있으며, 보안 팀은 발견 사항을 분류해 수정 담당 팀에 할당할 수 있습니다. 계기는 새 버전의 등장이 아니라, 빌드가 실제로 사용한 것에 있는 취약점입니다.

모니터링 그 이상

CRACI는 러너이므로 작업별 이그레스 정책(기본 거부 또는 허용, 작업 시작 전에 검증, 실패 시 차단)도 적용하고, API를 통해 SBOM, 네트워크 추적, 출처 증명을 반환하며, SBOM을 CycloneDX 또는 SPDX로 내보냅니다. 이 중 어느 것도 Renovate의 역할이 아닙니다.

어디에 무엇이 배포되었는지 보여 주는 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지를 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발표되면 릴리스 노트와 스프레드시트를 뒤져 짜맞출 필요 없이, 영향받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

함께 사용하기

• Renovate는 모든 플랫폼과 패키지 관리자에 걸쳐 일정에 따라 모든 종속성을 최신으로 유지하고, 위험이 낮은 업데이트는 자동 병합합니다.
• CRACI는 각 GitHub Actions 빌드를 기록하고, 출시한 것을 모니터링하며, 새로운 취약점이 어떤 빌드와 팀에 영향을 주는지 알려 주므로 어떤 업데이트 풀 리퀘스트를 먼저 병합해야 할지 알 수 있습니다.

마이그레이션할 것은 없습니다. Renovate는 계속 리포지토리를 읽고, 워크플로는 다른 러너에서 계속 GitHub Actions로 실행됩니다.

두 가지보다 많은 도구를 비교하고 계신가요? Renovate 대안에서 Dependabot부터 Mend Renovate Enterprise까지 7가지 옵션을 비교합니다.

Cyber Resilience Act 대응

CRA는 제조사가 각 릴리스에 무엇이 들어 있는지 파악하고 그 취약점을 처리하기를 요구합니다. Renovate는 종속성을 패치하고 최신 상태로 유지해 이를 돕습니다. CRACI는 각 빌드의 SBOM을 기록하고, 새로운 취약점을 모니터링하며, 증거를 보관합니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. CRA란 무엇인가와 취약점 추적을 참고하세요.