CRACI vs RunsOn

간단한 답변

RunsOn은 러너 플릿을 유지 관리하는 부담 없는 셀프 호스팅 GitHub Actions 러너입니다. CloudFormation 스택 또는 Terraform 모듈 하나로 AWS 계정에 배포하면, 이후 모든 작업이 원하는 유형의 새 EC2 인스턴스를 받고 AWS가 컴퓨팅 요금을 원가로 청구합니다. 자체 클라우드 계정 안의 러너와 가능한 한 낮은 컴퓨팅 비용을 원한다면, 특히 스팟 인스턴스에서 RunsOn을 넘어서기는 어렵습니다.

CRACI는 공급망 보안을 기본으로 처리하는 CI입니다. GitHub Actions와 호환되는 관리형 러너이며, 보안은 러너에 추가한 도구가 아니라 러너의 일부입니다. CRACI는 빌드가 가져온 모든 외부 종속성을 기록하고, 빌드 네트워크에 이그레스 정책을 적용하며, 그 기록을 SBOM, 취약점 모니터링, 증거로 전환합니다. 두 제품 모두 작업이 실행되는 러너를 대체하므로 둘 중 하나를 선택하게 됩니다.

한눈에 보기

RunsOn의 강점

고객의 계정, 고객의 데이터. 컨트롤 플레인, 러너 VM, S3 캐시, 로그가 모두 고객의 AWS 계정에 있으며, RunsOn 자체로 오가는 데이터는 라이선스 검증, 텔레메트리, 지원으로 한정됩니다. 보안 검토가 "제3자가 우리 코드와 시크릿을 실행한다"는 지점에서 막히는 팀에게 RunsOn은 바로 그 해답을 주도록 설계되었습니다. CRACI 러너는 현재 관리형이며, 고객 호스팅 러너는 Enterprise용 로드맵에 있습니다.

모든 인스턴스, 작업당 하나. runs-on 레이블로 머신을 고르므로, 작업이 대형 컴퓨팅 최적화 인스턴스, GPU, 로컬 NVMe 스토리지, Windows를 요청할 수 있습니다. 모든 작업은 새 EC2 인스턴스를 받고, 작업이 끝나면 인스턴스는 폐기됩니다. RunsOn에 따르면 작업은 보통 약 30초 안에, 웜 풀을 쓰면 6초 이내에 시작됩니다.

비용. RunsOn은 AWS 컴퓨팅에 마크업을 붙이지 않고 연 약 $348(€300)부터 시작하는 정액 라이선스를 부과합니다. RunsOn은 그 결과 GitHub 호스팅 러너보다 7~12배 저렴하다고 밝힙니다. 온디맨드로 자동 대체되는 스팟 인스턴스로 비용을 더 낮출 수 있습니다. 이는 RunsOn이 제시한 수치이며, 실제 금액은 인스턴스 구성과 리전에 따라 결정됩니다.

캐싱과 관측성. VPC 안의 S3 기반 캐시가 크기 제한 없이 GitHub 캐시를 대체하고, Docker 레이어 캐싱이 내장되어 있으며, EBS 스티키 디스크와 EFS 공유 볼륨이 작업 간에 상태를 유지합니다. 작업별 지표와 비용 보고는 CloudWatch와 OpenTelemetry로 전송됩니다.

보안 애드온. StepSecurity Harden-Runner 통합으로 이그레스 모니터링 및 필터링과 빌드 중 소스 코드 변조 탐지가 추가되며, StepSecurity 엔터프라이즈 라이선스가 필요합니다.

요금과 사양

컴퓨팅만 놓고 보면, 스팟 인스턴스의 RunsOn은 CRACI의 2 vCPU 분당 $0.004보다 훨씬 저렴합니다. 다만 비교는 분당 가격만의 문제가 아닙니다. RunsOn을 쓰면 라이선스 비용과 고정 IP용 NAT 게이트웨이 같은 러너 주변의 AWS 서비스 비용도 지불하며, 업그레이드, AWS 할당량, 장애 대응 등 스택 운영도 팀이 맡아야 합니다. CRACI는 초 단위로 측정되는 단일 분당 요금이며, 월 요금이 없고, 인프라는 CRACI가 운영합니다. 최신 조건은 CRACI 요금을, 더 넓은 관점의 장단점은 관리형 러너와 셀프 호스팅 러너 비교를 참고하세요.

속도 면에서 CRACI는 더 빠른 하드웨어, 더 짧은 대기 시간, 캐싱 덕분에 GitHub 호스팅 러너보다 약 2배 빠르게 빌드를 실행합니다. RunsOn의 속도는 선택한 인스턴스 유형에 따라 다릅니다. 두 제품을 직접 비교한 벤치마크는 하지 않았습니다.

CRACI가 다른 점

빌드가 가져온 것의 기록

각 작업이 실행되는 동안 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋 등 패키지 소스로 가는 트래픽을 기록합니다. 종속성 증거가 CI 캐시와 함께 전달되므로 캐시에서 복원된 패키지도 집계됩니다. 여기에는 설치 훅이나 빌드 스크립트가 내려받는 코드, 베이스 이미지 계층처럼 어떤 잠금 파일에도 나열되지 않는 숨은 종속성도 포함됩니다. 모든 작업은 작업별, 캐시별 완전성 상태가 포함된 CycloneDX 또는 SPDX SBOM을 생성합니다.

빌드가 접근할 수 있는 대상의 통제

보안 그룹은 RunsOn 러너가 어떤 네트워크에 접근할 수 있는지를 정할 뿐, 작업이 어떤 패키지 레지스트리를 사용해야 하는지는 알지 못합니다. CRACI의 이그레스 정책은 이를 압니다. 기본 거부 또는 기본 허용, 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, HTTPS 및 SSH를 통한 Git용 유형별 사용자 지정 소스, 명시적인 TLS, TCP, UDP, ICMP 규칙을 제공합니다. 정책은 작업 시작 전에 검증되고, 실패 시 차단되며, 위반 시 알림을 보냅니다. 정책이 빌드에 필요한 것만 허용하므로, 아무도 본 적 없는 공격에서도 빌드에 필요하지 않은 호스트로의 데이터 유출을 차단합니다.

RunsOn의 Harden-Runner가 한 가지 측면에서는 더 나아갑니다. 빌드 중 소스 파일이 수정되는지도 감시하며, 이는 CRACI가 하지 않는 기능입니다.

출처 증명과 모니터링

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않으며 SLSA 레벨을 주장하지 않습니다. 빌드와 리포지토리 전반의 취약점을 집계하고, 모니터링 중인 SBOM을 계속 재평가합니다.

서로 다른 두 가지 보안 질문

RunsOn은 "누가 우리의 코드, 시크릿, 러너 상태를 보유하는가?"라는 질문에 모든 것을 고객의 AWS 계정에 두는 것으로 답합니다. CRACI는 다른 질문에 답합니다. "이 빌드는 무엇을 가져왔고, 어디에 연결했는가?" CRACI는 모든 작업을 각각 격리된 VM에서 실행하고, 소스 코드를 저장하지 않으며, ISO 27001 인증을 받았습니다. 감사인, 고객, 그리고 Cyber Resilience Act가 요구하는 것은 두 번째 질문에 대한 답입니다.

데모를 예약하고 자사 워크플로에서 나온 SBOM, 네트워크 추적, 출처 증명을 확인하세요.

어떤 제품이 맞을까

RunsOn이 더 적합한 경우

• 러너가 VPC 리소스 옆, 자체 AWS 계정 안에서 실행되어야 하는 경우.
• 가장 낮은 컴퓨팅 비용이 가장 중요하고, AWS에서 스택을 운영하는 데 익숙한 경우.
• 지금 당장 Windows 러너, GPU 인스턴스, 특정 EC2 인스턴스 유형이 필요한 경우.
• RunsOn이 무료로 제공하는 비상업적 프로젝트인 경우.

CRACI가 더 적합한 경우

• 각 릴리스에 무엇이 들어갔는지 빌드 자체를 근거로 보여 줘야 하는 소프트웨어를 출시하는 경우.
• 실패 시 차단되고 추가 라이선스가 필요 없는 정책으로 빌드가 접근할 수 있는 대상을 제한하려는 경우.
• 모든 워크플로에 도구를 추가하지 않고 출시된 소프트웨어를 모니터링해야 하는 경우.
• CI 인프라를 직접 운영하고 싶지 않고, 유럽 인프라에서 빌드하고 싶은 경우.

CRACI를 선택할 때 포기하는 것. 자체 AWS 계정 안의 러너(Enterprise용 로드맵에 있음), Windows 러너(역시 로드맵에 있음), 그리고 가장 낮은 컴퓨팅 비용입니다. 대신 파이프라인에 스캐너를 추가하지 않고도 보안 및 컴플라이언스 담당자가 활용할 수 있는 빌드 기록을, 직접 운영할 필요 없는 인프라에서 얻습니다.

Cyber Resilience Act 대응

EU Cyber Resilience Act는 제조사가 각 릴리스에 무엇이 들어 있는지 파악하고 그 취약점을 처리하기를 요구합니다. 보고 의무는 2026년 9월부터, 전면 적용은 2027년 12월부터입니다. 셀프 호스팅 러너는 그 자체로 이런 증거를 만들어 내지 않으므로, 워크플로에 SBOM 및 스캔 도구를 추가해야 합니다. CRACI는 빌드 기록에서 증거를 생성하고 SBOM을 CycloneDX 또는 SPDX로 내보냅니다. 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다.

RunsOn에서 전환하기

CRACI는 GitHub Actions가 아니라 러너를 대체합니다. 워크플로와 GitHub UI는 그대로이며, 작업 레이블이 runs-on: craci가 됩니다. 작업에는 Docker Engine, Buildx, Compose v2, GitHub 호환 Ubuntu 24.04 이미지, x86-64의 중첩 가상화가 제공됩니다. CI/CD 통합과 빌드 시점 SBOM 생성에 대해 자세히 알아보세요. 스타트업은 스타트업 프로그램에 신청할 수 있습니다.

캐시, OIDC 신뢰 정책, IP 허용 목록, 폴백은 GitHub Actions 러너 제공업체 전환 방법을 참조하세요.

RunsOn과 CRACI: 자주 묻는 질문

요금, 호스팅, 플랫폼, 보안에 대해 각 공급업체가 공개한 정보를 바탕으로 답변합니다

RunsOn이란 무엇입니까?

RunsOn은 셀프 호스팅 GitHub Actions 러너를 제품으로 만든 것입니다. CloudFormation 스택 또는 Terraform 모듈 하나를 자체 AWS 계정에 배포하면, RunsOn이 작업마다 새 EC2 인스턴스를 시작하고 작업이 끝나면 종료합니다. 러너, 캐시, 로그, 자격 증명은 고객의 AWS 계정에 남습니다. 2023년 프랑스 렌에 거주하는 Cyril Rohr가 설립했습니다.

RunsOn의 요금은 얼마입니까?

2026년 9월 기준 RunsOn은 법인당 연간 정액 라이선스를 부과합니다. 월간 시작하는 러너 수에 따라 Starter는 연 약 $348(€300)부터, Growth는 약 $1,044(€900), Scale은 약 $2,088(€1,800), Enterprise는 약 $4,176(€3,600)입니다. 컴퓨팅 요금은 AWS가 RunsOn 마크업 없이 초 단위로 직접 청구합니다. RunsOn은 us-east-1의 2 vCPU x64 스팟 인스턴스를 분당 약 $0.0009로 제시합니다. 비상업적 사용은 무료이며 15일 평가판이 있습니다.

RunsOn이 CRACI보다 저렴합니까?

컴퓨팅만 보면 그렇습니다. 스팟 인스턴스에서는 차이가 큽니다. CRACI는 2 vCPU 분당 $0.004를 부과하지만, RunsOn을 통한 2 vCPU 스팟 인스턴스는 us-east-1에서 분당 약 $0.0009에 라이선스 비용이 더해집니다. 총비용에는 AWS 네트워킹과 스토리지, 스택 운영에 드는 시간도 포함됩니다. CRACI가 러너에 더하는 것은 빌드 기록입니다. 모든 작업의 SBOM, 이그레스 정책, 출처 증명 데이터, 취약점 모니터링입니다.

RunsOn은 SBOM이나 빌드 출처 증명을 생성합니까?

문서화된 기능에는 없습니다. RunsOn은 고객 AWS 계정의 컴퓨팅, 캐싱, 비용, 관측성에 초점을 맞춥니다. CRACI는 캐시에서 복원된 패키지를 포함해 모든 작업이 가져오는 패키지를 기록하고, 완전성 상태가 포함된 CycloneDX 또는 SPDX SBOM을 생성합니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

RunsOn으로 빌드가 네트워크에서 접근할 수 있는 대상을 제한할 수 있습니까?

RunsOn 러너는 고객의 VPC 안에 있으므로 AWS 보안 그룹과 라우팅이 적용되며, 고정 이그레스 IP는 NAT 게이트웨이에서 제공됩니다. 작업 내부의 이그레스 필터링을 위해 RunsOn은 StepSecurity Harden-Runner와 통합됩니다. Harden-Runner는 각 작업의 아웃바운드 트래픽 기준선을 만들고 이를 허용 목록으로 적용할 수 있으며, RunsOn에서는 StepSecurity 엔터프라이즈 라이선스가 필요합니다. CRACI는 러너 자체에서 이그레스 정책을 적용합니다. 기본 거부 또는 허용, 24개의 기본 제공 소프트웨어 소스 프리셋을 제공하며, 작업 시작 전에 검증하고 실패 시 차단됩니다.

CRACI를 자체 AWS 계정에서 실행할 수 있습니까?

현재는 불가능합니다. CRACI 러너는 유럽 인프라에서 관리형으로 운영되며, 고객 호스팅 러너는 Enterprise 플랜의 로드맵에 있습니다. 자체 AWS 계정 안의 러너가 필수 요건이라면, RunsOn은 바로 그 목적을 위해 만들어졌습니다.

CRACI는 Windows 또는 macOS 러너를 지원합니까?

CRACI는 현재 x86-64 및 ARM64의 Linux를 실행하며, Windows와 macOS는 로드맵에 있습니다. RunsOn은 Windows Server 2022 및 2025와 GPU 인스턴스를 제공하며, RunsOn에서도 macOS 작업은 GitHub 호스팅 러너에 남습니다.

전환하려면 GitHub Actions 워크플로를 다시 작성해야 합니까?

아닙니다. 두 제품 모두 GitHub Actions가 아니라 러너를 대체합니다. 워크플로, 트리거, GitHub UI는 그대로이며, CRACI에서는 작업 레이블이 runs-on: craci가 됩니다.