CRACI en JFrog Artifactory

Twee uitkijkpunten op dezelfde softwareketen

Veel engineeringorganisaties leiden pakketverkeer via JFrog Artifactory. Een remote repository werkt als cachende proxy voor een publieke registry zoals npm of PyPI, haalt pakketten op aanvraag op en bewaart een kopie. Virtual repositories combineren meerdere bronnen achter één URL. Uw eigen builduitvoer staat in local repositories. Zo hebt u één plek om te zien en te beheren wat het bedrijf binnenkomt.

CRACI zit ergens anders. Het is de CI-runner waarop uw GitHub Actions-jobs draaien, en terwijl elke job draait, legt het de externe afhankelijkheden vast die de job binnenhaalt. Artifactory beantwoordt "wat is er door onze repositories gegaan?" CRACI beantwoordt "wat heeft deze specifieke build gebruikt, en welk artefact kwam eruit?"

Waar Artifactory sterk in is

Artifactory is een volwassen repository manager. Het geeft teams betrouwbare, gecachete toegang tot upstream pakketten, een thuis voor interne artefacten en één controlepunt voor veel pakkettypen. Daaromheen voegt het JFrog Platform meer toe:

• Build-info. Met de JFrog CLI voegt u een buildnaam en -nummer toe aan uw opdrachten en publiceert u een JSON-record van de opgeloste afhankelijkheden, geproduceerde artefacten, omgevingsvariabelen en Git-gegevens. Dat record ondersteunt traceerbaarheid, buildpromotie en Xray-scans.
• Xray. Scant artefacten en builds op kwetsbaarheden en exporteert SBOM's in SPDX en CycloneDX. De licentiematrix van JFrog vermeldt Xray als inbegrepen in Pro X-, Enterprise X- en Enterprise+-abonnementen (stand september 2026).
• Curation. Blokkeert kwaadaardige of kwetsbare pakketten op de remote repository voordat ze ontwikkelaars bereiken, inclusief pakketten die al in de remote cache zitten.

Blokkeren op pakketniveau bij de registry is echt een sterk punt. CRACI blokkeert vandaag geen individuele pakketten; organisatiebrede blokkeerlijsten voor pakketten staan op de roadmap van CRACI.

Wat CRACI eraan toevoegt

Zicht dat niet van routering afhangt

Artifactory ziet wat erdoorheen wordt geleid. Builds werken niet altijd mee. Een job kan een toolchain downloaden van een GitHub-release, OS-pakketten installeren, een base image ophalen uit een publieke registry of een script draaien dat een binary ophaalt. De eigen documentatie van JFrog merkt op dat afhankelijkheden die door andere tools worden opgehaald, handmatig kunnen worden geregistreerd met build-add-dependencies, wat betekent dat iemand ervan moet weten.

CRACI legt vast op de runner. Een proxy die pakketten herkent, observeert tijdens de job het verkeer naar pakketbronnen, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Lopen uw npm- of PyPI-installaties via een Artifactory-mirror, dan werkt dat: CRACI legt die pakketten ook vast.

Bewijs per build zonder extra stappen

Build-info is waardevol, maar het is iets wat u aan elke pipeline toevoegt. Op CRACI bestaat de vastlegging voor elke job, omdat de runner die maakt. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, telt nog steeds mee. Elke SBOM heeft een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Zit er een gat in een vastlegging, dan staat dat erbij.

Houd builds op het goedgekeurde pad

Omdat CRACI de job draait, kunt u het egressbeleid voor het netwerk instellen. Beleid is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen (npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git) en expliciete TLS-, TCP-, UDP- en ICMP-regels. Het wordt gevalideerd voordat de job start en is fail-closed. Een beleid dat uw Artifactory-host toestaat en directe toegang tot publieke registries weigert, helpt ervoor te zorgen dat builds de beheerde route ook echt gebruiken. CRACI waarschuwt u wanneer een job zijn beleid overtreedt.

Buildbewijs naast Artifactory

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet. Bewaar het artefact in Artifactory zoals u nu doet; de vastlegging van wat de build ophaalde, komt van CRACI.

Voor teams die te maken hebben met de EU Cyber Resilience Act voedt die vastlegging het bewijs op releaseniveau. CRACI bundelt kwetsbaarheden over builds en repositories heen, beoordeelt gemonitorde SBOM's continu opnieuw en exporteert ze als CycloneDX of SPDX. Zie CRA-bewijs en CRA-naleving.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Hoe ze samengaan

1. Houd Artifactory als uw pakketproxy, artefactopslag en distributiepunt voor releases.
2. Zet GitHub Actions-jobs over naar CRACI door runs-on te wijzigen in craci. Workflows blijven hetzelfde, en runs verschijnen nog steeds in de GitHub-interface.
3. Laat npm- en PyPI-installaties naar uw Artifactory-mirrors wijzen zoals u nu doet.
4. Gebruik een egressbeleid van CRACI om builds op goedgekeurde bronnen te houden, waaronder Artifactory.
5. Gebruik de SBOM, herkomstgegevens en netwerktrace per build van CRACI als het bewijs voor elke release.

Vertrouwt u vandaag op JFrog build-info of Curation, houd die dan. CRACI ondersteunt vandaag alleen GitHub Actions (GitLab CI en Jenkins staan op de roadmap), dus pipelines op andere CI-systemen blijven waar ze zijn.

Vervangt u Artifactory zelf, bekijk dan de alternatieven voor JFrog Artifactory.

Veelgestelde vragen

Vervangt CRACI Artifactory?

Nee. CRACI is geen repository manager. Het bewaart uw pakketten of releasebinaries niet en distribueert ze niet. Het draait uw builds en legt er bewijs over vast.

Overlapt CRACI met Xray?

Gedeeltelijk. Beide exporteren SBOM's in CycloneDX en SPDX en beide helpen u kwetsbaarheden te volgen. Het verschil zit in de input. Xray scant de artefacten en builds die JFrog kent. De SBOM en kwetsbaarhedenweergave van CRACI komen uit wat elke build tijdens het draaien ophaalde, over builds en repositories heen. Is Xray ingebed in uw releaseproces, houd het dan en behandel de vastlegging per build van CRACI als een tweede, onafhankelijke bron.

Welke Artifactory-repositorytypen werken met CRACI?

Van npm- en PyPI-mirrors in Artifactory is bevestigd dat ze met CRACI-builds werken. Bespreek uw opzet voor andere pakkettypen met ons voordat u die pipelines overzet.