CRACI-runners vs door GitHub gehoste runners

Dezelfde workflows, een snellere runner

Als u GitHub Actions gebruikt, draaien uw jobs op door GitHub gehoste runners, tenzij u uw eigen runners hebt ingericht. Die zijn handig: elke job krijgt een nieuwe virtuele machine, er valt niets te beheren, en Linux, Windows en macOS zijn allemaal beschikbaar.

CRACI is een runner die compatibel is met GitHub Actions. Installeer de CRACI GitHub App op uw organisatie, op alle repositories of op een selectie, en wijzig één regel in uw workflow:

runs-on: craci

Uw workflowbestanden, actions en de GitHub-interface blijven hetzelfde. CRACI vervangt de runner, niet GitHub Actions, en geeft u drie dingen die een algemene runner niet biedt: snellere builds, een lagere rekening en ketenbeveiliging die is ingebouwd in de machine die de job draait.

Snelheid

Builds op CRACI zijn in ongeveer de helft van de tijd klaar die ze nodig hebben op de standaard door GitHub gehoste runners. Drie dingen dragen daaraan bij: snellere hardware, kortere wachtrijen voordat een job start, en caching.

Hoeveel sneller uw eigen builds worden, hangt af van de workload. CPU-intensieve compilaties en testsuites winnen het meest; jobs die vooral wachten op het netwerk of op externe diensten winnen minder. Dit helpt:

• Runnergroottes van 1 tot 32 rekeneenheden, zodat zware jobs meer kunnen vragen.
• Native x86-64 en ARM64, zodat ARM-builds geen emulatie nodig hebben.
• Ondersteuning voor de GitHub Actions-cache, plus Docker Engine, Buildx en Compose v2 in elke job.
• Geneste virtualisatie op x86-64, voor jobs die hun eigen virtuele machines starten.

De beste test is uw eigen pipeline: verplaats één job en vergelijk de tijden naast elkaar in GitHub.

Kosten

Twee dingen verlagen de rekening tegelijk. Elke minuut is goedkoper, en een snellere build gebruikt er minder.

CRACI factureert $0.002 per vCPU-minuut, per seconde gemeten, dus een standaard Linux-runner met 2 vCPU kost $0.004 per minuut. GitHub vermeldt zijn standaard Linux x64-runner met 2 cores voor $0.006 per minuut, dus een minuut op CRACI kost ongeveer 33% minder.

Een build van 10 minuten

Neem een build die 10 minuten draait op een door GitHub gehoste runner met 2 cores:

Het prijsverschil alleen bespaart ongeveer 33%. De kortere build brengt dat op ongeveer 67%. Is een build op uw workload niet sneller, dan betaalt u nog steeds de lagere minuutprijs.

Wat de rekening verder verandert

• Afronding. GitHub rondt elke job naar boven af op een hele minuut; CRACI meet per seconde. Een job van 10 minuten en 20 seconden wordt op GitHub als 11 minuten gefactureerd, en pipelines met veel korte jobs (lint, testshards, checks) betalen voor veel ongebruikte seconden.
• Inbegrepen minuten. GitHub neemt afhankelijk van uw plan 2.000 tot 50.000 minuten per maand op, en standaardrunners zijn gratis op openbare repositories. CRACI heeft geen gratis laag en geen inbegrepen minuten: u betaalt per buildminuut vanaf de eerste minuut, zonder maandelijkse kosten. Binnen de tegoeden van GitHub zijn de marginale kosten daar nul.
• Architectuur en grootte. CRACI rekent hetzelfde tarief voor ARM64 en x86-64. De arm64-runner met 2 cores van GitHub kost $0.005 per minuut, dus de $0.004 van CRACI is daar 20% minder. Bij 32 vCPU's kost CRACI $0.064 per minuut, ongeveer 22% minder dan de $0.082 van GitHub op x64, maar de arm64-runner met 32 cores van GitHub is met $0.050 per minuut goedkoper dan CRACI. Ook het geheugen verschilt: een rekeneenheid van CRACI heeft 3 GB RAM per vCPU, en de standaard privérunner met 2 cores van GitHub heeft 8 GB. Stem af op wat uw builds nodig hebben voordat u vergelijkt.

Zie prijzen van CRACI voor de actuele voorwaarden.

Ketenbeveiliging in de runner

Dit doet een CRACI-runner, en daarvoor is een algemene runner niet ontworpen.

Een vastlegging van elke afhankelijkheid die de build heeft opgehaald

Terwijl elke job draait, legt een proxy die pakketten herkent het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs reist mee met CI-caches, zodat pakketten die uit een cache zijn teruggezet toch worden meegeteld. Elke job levert een SBOM op in CycloneDX of SPDX, met een volledigheidsstatus per job en per cache.

De dependency graph van GitHub wordt opgebouwd uit de manifests en lockfiles in uw repository en kan als SPDX worden geëxporteerd. Hij beschrijft de repository, niet een specifieke build.

Controle over wat een build kan bereiken

Het egressbeleid van CRACI is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git, en expliciete regels voor TLS, TCP, UDP en ICMP. Beleid wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding. Onder een beleid dat standaard weigert, wordt een gecompromitteerde afhankelijkheid die een onverwachte host probeert te bereiken op de runner tegengehouden.

De grotere runners van GitHub bieden statische IP-adressen en Azure private networking, waarmee u uitgaande toegang via uw eigen Azure-netwerk kunt beheren. Dat is nuttig, en het is een andere aanpak: netwerkinfrastructuur die u in Azure configureert in plaats van een beleid dat aan de job is gekoppeld.

Herkomst

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent geen herkomstgegevens en claimt geen SLSA-niveau.

GitHub biedt artifact attestations op basis van Sigstore, die volgens GitHub op zichzelf SLSA v1.0 Build Level 2 bieden en Level 3 met herbruikbare workflows. Is ondertekende herkomst of een formeel SLSA-niveau voor u een vereiste, dan spreekt dat in het voordeel van GitHub.

Isolatie en gegevenslocatie

CRACI-jobs draaien in geïsoleerde virtuele machines. Op het Enterprise-plan biedt CRACI gegevensopslag in de EU, met builduitvoering op Europese bare-metalinfrastructuur.

Wanneer u op door GitHub gehoste runners blijft

• U hebt Windows- of macOS-runners nodig. CRACI ondersteunt vandaag alleen Linux; Windows en macOS staan op de roadmap.
• Uw repositories zijn openbaar en gratis standaardrunners volstaan.
• Uw gebruik past binnen de inbegrepen minuten van uw plan.

Veel teams combineren beide: Linux-build- en testjobs op CRACI, macOS- en Windows-jobs op GitHub. Omdat de overstap neerkomt op een label runs-on, kunt u job voor job verplaatsen.