Europese runners voor GitHub Actions

Wat een Europese runner verandert, en wat niet

Een GitHub Actions-pipeline bestaat uit lagen, en elke laag kan op een andere plek staan. Een CI-runner is er maar één van: de machine waarop de job wordt uitgevoerd. Hier ziet u wie elke laag beheert, en waar, in drie gangbare opstellingen.

Laag	Door GitHub gehoste runners op github.com	GitHub Enterprise Cloud met EU-datalocatie	CRACI-runners
Opslag van repository en broncode	GitHub; github.com slaat gegevens standaard in de VS op	GitHub, in de EU-regio	GitHub, zoals in uw huidige opstelling. CRACI verwerkt de code in de virtuele machine van de job en slaat die niet op
Orkestratie, workflowruns, logs, checks-interface	GitHub	GitHub; Actions-gegevens en logs opgeslagen in de EU-regio	GitHub, zoals in uw huidige opstelling
Opslag van secrets	GitHub	GitHub	GitHub; bij de start van de job aan de CRACI-runner geleverd
Uitvoering van de build	Door GitHub gehoste runners op Microsoft Azure, en voor sommige standaard Linux-jobs AWS; regio's niet genoemd	Gehoste runners in EU-regio's van Azure, via Azure private networking	CRACI-runners op Europese bare-metalinfrastructuur
Record van wat de build ophaalde	Niet vastgelegd	Niet vastgelegd	SBOM's en netwerktraces, bewaard door CRACI, gehost in Europa
Artefacten uit actions/upload-artifact	GitHub	GitHub; Actions-gegevens opgeslagen in de EU-regio	GitHub, zoals in uw huidige opstelling
Wie het beheert	GitHub, een bedrijf van Microsoft	GitHub, een bedrijf van Microsoft	GitHub voor het control plane; CRACI Corporation Oy, een Fins bedrijf, voor de runner

Eenvoudig gezegd: met CRACI draait de rekenkracht die tijdens de build uw code en secrets ziet in Europa en wordt die beheerd door een Europees bedrijf, en hetzelfde geldt voor het record van elk pakket dat de build binnenhaalde. GitHub bewaart nog steeds de code en orkestreert de job. CRACI vervangt de runner, niet GitHub Actions.

Datalocatie is geen digitale soevereiniteit

Datalocatie gaat over waar gegevens worden opgeslagen en verwerkt. Digitale soevereiniteit voegt twee vragen toe: wie de gegevens beheert, en welk recht op die partij van toepassing is, inclusief welke jurisdictie de beheerder kan dwingen gegevens af te staan. Een Europees datacenter dat wordt beheerd door een bedrijf van buiten Europa geeft u datalocatie, geen digitale soevereiniteit. Welke jurisdicties voor uw geval tellen, is een vraag voor uw juridisch adviseur, niet voor een runnerleverancier.

Een beslisregel die standhoudt in een audit: zet elke laag uit de tabel hierboven op een rij, noteer wie hem beheert en waar hij draait, en vergelijk dat met uw eis. Gaat de eis alleen over waar builds worden uitgevoerd en waar buildgegevens staan, dan kan een Europese runner eraan voldoen. Gaat hij ook over het control plane of de opslag van code, dan kan een runner dat alleen niet.

Uw opties in Europa

Optie	Wat in Europa draait	Wie het beheert	Beperkingen
GitHub Enterprise Cloud met datalocatie (GHE.com)	Code en Actions-gegevens in de EU-regio; gehoste runners in EU-regio's van Azure via Azure private networking (x64 in France Central en Sweden Central, arm64 in France Central)	GitHub	Alleen Enterprise Cloud; een aparte GHE.com-enterprise
CRACI	Beheerde Linux-runners op Europese bare-metalinfrastructuur, met buildbewijs inbegrepen	CRACI Corporation Oy, een Europees bedrijf	Vandaag alleen GitHub Actions en Linux
Ubicloud	GitHub Actions-runners in zijn Europese regio's, in Duitsland en Finland	Ubicloud, met kantoren in San Francisco, Amstelveen en Istanbul	Ubuntu-runners
Avrea	Avrea noemt hostingproviders waaronder Aiven, Google Cloud en OVHcloud, en vraagt klanten eisen aan de datalocatie met Avrea te bespreken	Avrea, opgericht in Helsinki	De datalocatie wordt met Avrea afgesproken, niet per regio gepubliceerd
Blacksmith	Machines in Amsterdam en Frankfurt en in de VS; een organisatie kan vragen naar een andere regio te worden verplaatst	Blacksmith, met zijn control plane op AWS	Een Europese locatie, geen Europese beheerder
Self-hosted runners op een Europese cloud	Uw runners op de servers van een Europese aanbieder, met Actions Runner Controller of gewone virtuele machines	U	U patcht, isoleert en schaalt ze
Een ander CI-platform op Europese hosting	Alles, inclusief het control plane: GitLab self-managed of een Forgejo- of Gitea-instantie	U of uw hostingpartner	Een CI-migratie, geen runnerwissel

Voor de details per aanbieder, zie CRACI vs Ubicloud, CRACI vs Avrea en CRACI vs Blacksmith, en voor het bredere veld aanbieders van GitHub Actions-runners vergeleken. Overweegt u eigen runners te draaien, zie dan beheerde vs self-hosted runners.

Wat CRACI in Europa draait

• Beheerde runners, gehost in Europa. Builds draaien op Europese bare-metalinfrastructuur, beheerd door CRACI Corporation Oy. CRACI biedt vandaag beheerde runners; door de klant gehoste runners staan op de roadmap.
• EU-datalocatie in Enterprise. Het Enterprise-plan vermeldt EU-datalocatie, naast aangepaste bewaartermijnen en SAML SSO.
• Isolatie. Elke job draait in een eigen geïsoleerde virtuele machine.
• Wat CRACI bewaart, en wat niet. CRACI verwerkt uw broncode in de virtuele machine van de job en slaat die niet op. Het bewaart buildmetadata, pakketgegevens, netwerktraces, SBOM's, provenance, caches en auditrecords. Caches bevatten wat uw workflow erin opslaat.
• Een stabiel egress-IP-bereik, voor de allowlists die uw build bereikt.
• Certificering. Het managementsysteem voor informatiebeveiliging van CRACI Corporation Oy, voor de ontwikkeling en exploitatie van het CRACI-platform, is ISO/IEC 27001-gecertificeerd door Into Certification. CRACI voldoet aan de AVG.

Voor de details die uw beveiligingsreview nodig heeft, zie beveiliging, het Trust Center en wat CRACI kan bereiken.

Waarom de buildlaag het verplaatsen waard is

Ook als GitHub blijft, is de runner de laag die u het eerst wilt verplaatsen. Daar wordt uw code gecompileerd terwijl uw secrets aanwezig zijn, en daar komen pakketten van derden uw product binnen. Draait die op Europese infrastructuur, dan blijven die uitvoering en het record van elk opgehaald pakket op infrastructuur die een Europees bedrijf beheert, in plaats van op de rekenkracht van een Amerikaanse hyperscaler.

Dat record is ook bewijs. CRACI legt de dependencies van elke job vast als SBOM met een volledigheidsstatus, onder een egressbeleid dat fail-closed werkt, en blijft ze controleren op nieuwe kwetsbaarheden. Europese regelgeving zoals de Cyber Resilience Act vraagt fabrikanten steeds vaker om precies dit soort record.

De overstap is een labelwijziging: runs-on: craci. CRACI draait builds ongeveer twee keer zo snel als door GitHub gehoste runners, dankzij snellere hardware, kortere wachttijden en caching, en rekent alleen buildminuten: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandelijkse kosten. Zie de runners van CRACI, prijzen en van runneraanbieder wisselen.

Wanneer CRACI niet het antwoord is

• Uw eis omvat het control plane of de opslag van code. Een Europese runner is dan niet genoeg. U hebt GitLab self-managed of een self-hosted forge in Europa nodig; zie alternatieven voor GitLab. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.
• Runners moeten op uw eigen hardware of in uw eigen cloudtenant draaien. Door de klant gehoste CRACI-runners staan op de roadmap en zijn vandaag niet beschikbaar.
• U hebt macOS- of Windows-builds in Europa nodig. CRACI draait vandaag Linux op x86-64 en ARM64, met Windows en macOS op de roadmap.
• U zoekt de laagste prijs per minuut. Andere Europese opties vermelden lagere prijzen.

Europese GitHub Actions-runners: veelgestelde vragen

Kunnen GitHub Actions-builds in de EU draaien?

Ja. De build draait waar de runner staat, dus een runner op Europese infrastructuur draait uw build in Europa. U kunt er een krijgen bij een beheerde aanbieder zoals CRACI, bij GitHub Enterprise Cloud met datalocatie, dat gehoste runners in EU-regio's van Azure kan plaatsen, of door self-hosted runners op een Europese cloud te draaien.

Bestaat er een Europese aanbieder van GitHub Actions-runners?

Ja. CRACI is een Europees bedrijf, en zijn beheerde runners voor GitHub Actions draaien op Europese bare-metalinfrastructuur. Andere aanbieders draaien ook machines in Europa; controleer zowel waar de machines staan als welk bedrijf ze beheert.

Als mijn runner in de EU staat, is mijn CI dan soeverein?

Niet op zichzelf. Een Europese runner verplaatst de uitvoering van de build en het record van wat de build ophaalde. GitHub slaat nog steeds de code, de secrets, de logs en de artefacten op, en orkestreert elke job. Om GitHub buiten beeld te halen, hebt u een ander CI-platform op Europese hosting nodig.

Welke gegevens blijven bij GitHub als ik een Europese runner gebruik?

De repository, de workflowbestanden, de opslag van secrets, de workflowruns en logs, de checks-interface en de artefacten die met actions/upload-artifact zijn geüpload. De runner ontvangt de code en de secrets van de job terwijl de job draait. CRACI verwerkt uw code in de virtuele machine van de job en slaat die niet op.

Biedt GitHub EU-datalocatie voor Actions?

Op GitHub Enterprise Cloud met datalocatie, gehost op GHE.com, kunt u een EU-regio kiezen, en GitHub slaat repositories en Actions-gegevens en logs daar op. De gehoste runners kunnen in EU-regio's van Azure draaien via Azure private networking. De beheerder is nog steeds GitHub, en het aanbod geldt alleen voor klanten van Enterprise Cloud.

Wat is het verschil tussen EU-datalocatie en digitale soevereiniteit?

Datalocatie gaat over waar gegevens worden opgeslagen en verwerkt. Digitale soevereiniteit voegt toe wie de gegevens beheert en welk recht op die partij van toepassing is. Een Europees datacenter dat wordt beheerd door een bedrijf van buiten Europa geeft u datalocatie, geen digitale soevereiniteit. Zet elke laag van uw pipeline op een rij, met wie hem beheert en waar, en vergelijk dat met uw eis.