CRACI vs Harness

Het korte antwoord

Harness, opgericht in 2017 en gevestigd in San Francisco, verkoopt een platform voor alles nadat de code is geschreven: continuous integration, continuous delivery, feature flags, beheer van cloudkosten, chaos engineering en beveiligingstests. De module Supply Chain Security (SCS) voegt SBOM-generatie, SLSA-herkomstgegevens, OPA policy gates en posturecontroles voor repositories en pipelines toe. Wilt u één leverancier voor de hele deliverypipeline, over meerdere Git-providers heen, dan is Harness daarvoor gebouwd.

CRACI is smaller en gaat dieper de build in. Het is een GitHub Actions-runner: terwijl elke job draait, legt het elke externe afhankelijkheid vast die de build binnenhaalt, dwingt het een egressbeleid af op het buildnetwerk en maakt het op basis van die vastlegging SBOM's, herkomstgegevens en monitoring van kwetsbaarheden. Harness voegt ketenstappen toe aan een pipeline; CRACI maakt de runner zelf het beveiligingsdossier.

Eén praktisch punt vooraf. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Pipelines in Harness CI moeten naar GitHub Actions overstappen om op CRACI te draaien.

In één oogopslag

Waar Harness sterk in is

Eén platform voor delivery. Harness dekt CI, CD, GitOps, feature flags, infrastructure as code, chaos engineering en beheer van cloudkosten, met beleidshandhaving op basis van OPA over dat alles heen. Het werkt met GitHub, GitLab, Bitbucket, Azure Repos en de eigen Harness Code-repositories, en zegt meer dan 1.000 enterprise-klanten te bedienen met meer dan 1.200 medewerkers.

Keuze in buildinfrastructuur. Harness Cloud draait builds op door Harness beheerde Linux-, Windows- en macOS-machines: Linux AMD64 van 2 tot 96 cores, ARM64 van 2 tot 64 cores tegen hetzelfde tarief, en macOS op Apple M4. Nested virtualization is beschikbaar op Linux AMD64. U kunt builds ook draaien op uw eigen Kubernetes-clusters, VM's of bare metal. Test Intelligence draait alleen de tests die een wijziging raakt, en Build Intelligence en cachefuncties hergebruiken ongewijzigde output en afhankelijkheden.

Ketenfuncties in de pipeline. De stap SBOM Orchestration van de SCS-module genereert een SBOM voor een containerimage of coderepository met Syft of cdxgen, in SPDX of CycloneDX, en kan SBOM's uit andere tools verwerken. Harness zegt SBOM's bij elke build te genereren en bij te werken. OPA-beleid kan builds en deployments blokkeren op componenten, licenties of herkomst, en een remediatietracker volgt kwetsbare artefacten.

SLSA-herkomst. Harness documenteert SLSA Build Level 1, 2 en 3 onder SLSA v1.0, met herkomstgegevens die zijn ondertekend via in-toto-attestaties en cosign. De documentatie zegt dat Level 3 geharde buildinfrastructuur of Harness Cloud vereist, dat buildprocessen van elkaar isoleert.

Posture- en pipelinecontroles. SCS toetst repositories en pipelines aan de OWASP Top 10 CI/CD Security Risks en CIS-benchmarks, en markeert niet-vastgepinde, niet-geverifieerde en te ruim bevoegde GitHub Actions. Harness biedt zijn SCS-stappen ook aan als GitHub Actions en GitLab CI/CD-componenten, dus de module is niet gebonden aan Harness CI; die stappen vereisen een Harness-account met een SCS-licentie.

Waarin CRACI verschilt

De SBOM komt uit de build, niet uit een scan van de output

Syft en cdxgen zijn scanners: ze lezen achteraf een image of repository en leiden uit lockfiles, manifests en pakketdatabases af wat erin zit. Dat werkt goed wanneer die bestanden het hele verhaal vertellen. Builds doen vaak meer: installatiescripts downloaden code, Rust-buildscripts halen tijdens de build dingen op, en caches zetten pakketten terug die in geen enkele lockfile staan.

CRACI ziet dat verkeer omdat het de runner is. Een proxy die pakketten herkent, legt vast wat elke job ophaalt uit pakketbronnen, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets, en het bewijs van afhankelijkheden reist mee met CI-caches. Het legt de verborgen afhankelijkheden vast die tools op basis van lockfiles missen, en elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Een beleid op het buildnetwerk, geen detectie achteraf

Harness zegt dat zijn module afwijkend gedrag van CI-runners detecteert, waaronder netwerkaanroepen en privilege-escalatie. CRACI kiest de andere route: een egressbeleid op de runner bepaalt welke hosts een job mag bereiken. Beleid is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen, wordt gevalideerd voordat de job start en is fail-closed. Omdat een beleid dat standaard weigert alleen toestaat wat de build nodig heeft in plaats van te zoeken naar bekende slechte hosts, blokkeert het exfiltratie naar de server van een aanvaller, zelfs bij een aanval die nog niemand heeft gezien. Overtredingen sturen een melding.

Herkomst en monitoring uit dezelfde vastlegging

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet en claimt geen SLSA-niveau; Harness ondertekent zijn herkomstgegevens en documenteert Level 1 tot 3, en als ondertekende herkomst of een SLSA-niveau een inkoopeis is, telt dat in het voordeel van Harness. CRACI bundelt kwetsbaarheden over builds en repositories heen, blijft gemonitorde SBOM's opnieuw beoordelen wanneer advisories verschijnen, en toont welke eerdere builds een kwetsbare afhankelijkheid bevatten, zodat u weet in welke periode u was getroffen.

Prijzen die u kunt lezen

CRACI rekent alleen buildminuten: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandbedrag en zonder kosten per SBOM. Harness publiceert zijn Harness Cloud-tarieven, $0.005 per minuut voor een Linux-machine met 2 cores en 7 GB en $0.080 voor 32 cores, afgerond op de dichtstbijzijnde minuut gefactureerd, terwijl de betaalde plannen en de SCS-module via sales worden geprijsd. De catalogusprijs van CRACI is bij beide formaten 20% lager per minuut ($0.004 tegenover $0.005, $0.064 tegenover $0.080); machines van Harness hebben meer geheugen per core.

Wat past bij u

• Blijf bij Harness als u CI, CD, feature flags en kostenbeheer van één leverancier wilt, als uw code op GitLab, Bitbucket of Azure Repos staat, als u Windows, macOS of uw eigen buildhardware nodig hebt, of als een gedocumenteerd SLSA Build Level 3 een eis is.
• Kies CRACI als uw code op GitHub staat en u GitHub Actions draait of wilt gaan draaien, en u wilt dat de SBOM, het netwerkbeleid en de herkomstgegevens komen van de runner die de build uitvoerde, geprijsd per buildminuut.

Wees u bewust van wat u opgeeft als u CRACI kiest. Het rolt geen software uit, draait geen feature flags en beheert geen cloudkosten, en het toetst repositories en pipelines niet aan posturebenchmarks en scant geen broncode. Het draait vandaag alleen Linux-jobs, met Windows en macOS op de roadmap, en door de klant gehoste runners staan op de roadmap voor Enterprise.

Voor gereguleerde producten

Kaders zoals de EU Cyber Resilience Act verwachten dat fabrikanten weten wat er in elke release zit en de kwetsbaarheden ervan afhandelen, met meldplichten vanaf september 2026. Harness levert SBOM's, herkomstgegevens en beleidsresultaten uit zijn pipelinestappen. CRACI maakt het bewijs op basis van de vastlegging van de build en exporteert SBOM's als CycloneDX of SPDX. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat een bedrijf nodig heeft voor zijn bredere CRA-proces; geen van beide tools maakt een product op zichzelf compliant.

Een pipeline naar CRACI overzetten

CRACI vervangt de runner, niet GitHub Actions, en runs verschijnen nog steeds in de GitHub-interface. Zodra een pipeline als GitHub Actions-workflow draait, draait hij met één regel op CRACI:

runs-on: craci

Lees meer over SBOM-generatie tijdens de build, vergelijk CI/CD-platforms, bekijk alternatieven voor Harness of de prijzen.