CRACI vs Azure Pipelines

Het korte antwoord

Azure Pipelines is het CI/CD-onderdeel van Azure DevOps. Het bouwt en test op Linux, Windows en macOS, werkt met Azure Repos en GitHub, en deployt naar virtuele machines, containers, on-premises- en clouddoelen. Als uw werkbeheer, repositories en releases in Azure DevOps staan, of u Windows- en macOS-builds nodig hebt vanuit één Microsoft-contract, past het goed.

CRACI bestrijkt een smaller deel en gaat daar dieper op in. Het is een runner voor GitHub Actions: terwijl elke job draait, legt het elke externe afhankelijkheid vast die de build binnenhaalt, dwingt het een egressbeleid af op het buildnetwerk, en levert het op basis van dat verslag SBOM's, herkomstgegevens en kwetsbaarheidsmonitoring. In Azure Pipelines komt dat bewijs uit de taken en tools die u aan elke pipeline toevoegt.

Eén praktisch punt komt eerst. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Azure Pipelines wordt niet ondersteund, dus een pipeline wordt omgezet naar een GitHub Actions-workflow om op CRACI te draaien.

In één oogopslag

Waar Azure Pipelines goed in is

Eén platform met Azure DevOps. Pipelines staan naast werkbeheer, Azure Repos en Azure Artifacts, zodat work items, code, builds en pakketten op één plek staan. Het bouwt ook code die op GitHub wordt gehost.

Elk besturingssysteem. Door Microsoft gehoste agents draaien Linux, Windows en macOS, en één parallelle job draait elk daarvan voor dezelfde prijs. Self-hosted agents breiden dat uit naar uw eigen machines, en Azure DevOps Server brengt het hele platform on-premises.

Onbeperkte minuten per job. Een betaalde parallelle job heeft geen maandelijkse minutenlimiet, waarbij elke run maximaal 360 minuten mag duren. Een team dat zijn jobs de hele dag bezighoudt, betaalt een vaste prijs, hoe lang de builds ook duren.

Ingebouwde deployments. Pipelines voeren builds door tot en met de deployment op virtuele machines, containers, on-premises servers en clouddoelen.

Waar CRACI anders is

De SBOM komt uit de build

In Azure Pipelines komt een SBOM uit een taak of scannerstap die u toevoegt, die meestal achteraf manifesten en lockfiles leest. Builds doen vaak meer dan die bestanden zeggen: installatiescripts downloaden code, buildscripts halen tijdens de build dingen op, en caches zetten pakketten terug die in geen enkele lockfile staan. CRACI ziet dat verkeer omdat het de runner is. Een proxy die pakketten herkent, legt vast wat elke job uit pakketbronnen ophaalt, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, en het bewijs van afhankelijkheden reist mee met CI-caches. Elke SBOM in CycloneDX of SPDX geeft aan hoe volledig hij is, per job en per cache.

Een beleid op het buildnetwerk

Op door Microsoft gehoste agents bepaalt u niet zelf wat een build mag bereiken; op self-hosted agents is het netwerkinfrastructuur die u zelf bouwt en onderhoudt. CRACI zet een egressbeleid op elke job: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen, gevalideerd voordat de job start. Beleid is fail-closed, en bij een overtreding gaat er een waarschuwing uit.

Monitoren wat is geleverd

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI bundelt kwetsbaarheden over builds en repositories heen, blijft gemonitorde SBOM's opnieuw beoordelen zodra er advisories verschijnen, en toont welke eerdere builds een kwetsbare afhankelijkheid bevatten, zodat u weet in welke periode u getroffen was.

Betalen per minuut, niet per parallelle job

Azure Pipelines verkoopt gelijktijdigheid: elke build die u tegelijk wilt laten draaien, heeft een eigen gehoste job van $40 per maand nodig, in één formaat van 2 cores en 7 GB. Als een job 8 uur bezig is op elk van 22 werkdagen, komt hij uit op ongeveer $0.0038 per minuut, iets onder de $0.004 van CRACI voor 2 vCPU. Is hij de helft van die tijd bezig, dan is het ongeveer $0.0076. Builds komen in pieken, dus de jobs die voor het drukste uur zijn gekocht, staan de rest van de dag stil.

CRACI rekent alleen buildminuten: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandelijkse kosten en zonder kosten per SBOM. Een job die meer rekenkracht nodig heeft, kan tot 32 vCPU gebruiken. Zie prijzen van CI-runners voor de volledige vergelijking.

Welke past

• Blijf bij Azure Pipelines als uw werkbeheer, repositories en releases in Azure DevOps staan, als u Windows- of macOS-builds nodig hebt, als u vanuit dezelfde pipelines deployt, of als uw jobs de hele dag bezig zijn.
• Kies CRACI als uw code op GitHub staat of daarheen verhuist, en als u wilt dat elke build een verslag oplevert van wat er in de release is gegaan, geprijsd per buildminuut.
• Gebruik beide tijdens een geleidelijke overstap: de keuze is per pipeline, dus Linux-builds kunnen naar GitHub Actions op CRACI verhuizen terwijl Windows-, macOS- en deploymentpipelines blijven.

Wees u bewust van wat u opgeeft als u voor CRACI kiest. Het deployt geen software, het draait vandaag alleen Linux-jobs met Windows en macOS op de roadmap, en door de klant gehoste runners staan op de roadmap voor Enterprise.

Voor gereguleerde producten

Kaders zoals de EU Cyber Resilience Act verwachten dat fabrikanten weten wat er in elke release zit en de kwetsbaarheden ervan afhandelen, met meldplichten vanaf september 2026. In Azure Pipelines komt dat bewijs uit de taken en scanners die u in elke pipeline inbouwt. CRACI levert het uit het buildverslag en exporteert SBOM's als CycloneDX of SPDX. Het automatiseert een aanzienlijk deel van het inzicht in en bewijs over de softwareketen dat een bedrijf nodig heeft voor zijn bredere CRA-proces; geen van beide tools maakt een product op zichzelf compliant.

Een pipeline naar CRACI verhuizen

De eigen GitHub Actions Importer van GitHub zet Azure DevOps-pipelines om in GitHub Actions-workflows. GitHub streeft ernaar dat 80% van elke workflow automatisch wordt omgezet en zegt dat elke omgezette workflow moet worden gecontroleerd voordat hij in productie draait, dus reken op wat handwerk. Zodra een pipeline als GitHub Actions-workflow draait, draait hij op CRACI met één regel:

runs-on: craci

Runs verschijnen nog steeds in de GitHub-interface. Lees meer over SBOM-generatie tijdens de build, bekijk alternatieven voor Azure Pipelines, vergelijk CI/CD-platforms, of bekijk de prijzen.