Hva CRACI kan nå, og hva det beholder

Hvorfor dette spørsmålet fortjener et ærlig svar

En CI-runner ser mer enn de fleste verktøyene i stacken din. Den sjekker ut kildekoden, installerer avhengighetene og har hemmelighetene workflowene dine bruker til å publisere pakker og rulle ut. Da GitHub Action-en tj-actions/changed-files ble kompromittert i mars 2025, rapporterte CISA at den ondsinnede koden eksponerte hemmeligheter, blant annet tilgangsnøkler, personlige GitHub-tilgangstokens, npm-tokens og private RSA-nøkler. Det er på runneren disse hemmelighetene befinner seg mens en jobb kjører.

Før du peker en workflow mot CRACI, bør du derfor vite nøyaktig hva det kan nå. Svarene står nedenfor, og CRACI Trust Center og docs.craci.com har detaljene.

Hva GitHub-appen er til

CRACI erstatter runneren, ikke GitHub Actions. Du beholder workflowene dine, endrer runs-on til craci for jobbene du velger, og kjøringene vises fortsatt i GitHub-grensesnittet. For at det skal fungere, installerer organisasjonen din CRACIs GitHub-app.

Når du installerer den, gir du appen tilgang til enten alle repositorier eller et utvalg. Bare repositoriene du gir tilgang til, kan kjøre workflows på CRACI.

De nøyaktige tillatelsene appen ber om, står på installasjonsskjermen i GitHub, og du kan gå gjennom dem senere i organisasjonsinnstillingene. Kort sagt kan appen lese koden din og Actions-kjøringene dine, og den administrerer runnerne den registrerer for organisasjonen din.

Hvor koden din kjører

Jobber kjøres i isolerte virtuelle maskiner. Bygg kjøres på europeisk bare metal-infrastruktur. Kildekoden din behandles inne i jobbens VM så lenge bygget varer.

Hver jobb kjører på ett av tre images: CRACI Slim, CRACI Slim ARM64 eller et GitHub-kompatibelt Ubuntu 24.04-image. Runnerne kjører bare Linux i dag; Windows og macOS står på veikartet.

Hvordan jobber isoleres, og hva som skjer med en jobbs VM når den er ferdig, er dokumentert på docs.craci.com og i Trust Center.

Hva CRACI lagrer, og hvor lenge

CRACI behandler kildekoden din i jobbens VM mens bygget kjører, og lagrer den ikke. Det CRACI beholder, er dokumentasjonen det registrerer om hvert bygg, pluss cachene workflowene dine lagrer:

• Byggemetadata
• Pakkedata, det vil si avhengighetene hver jobb hentet
• Nettverksspor fra jobben
• SBOM-er
• Provenance-registreringer
• Cacher
• Revisjonslogger

En cache inneholder det workflowen din legger i den, så behandle cacheinnhold slik du behandler andre byggeresultater.

Standard oppbevaringstid er 180 dager. Enterprise-planer kan angi en tilpasset oppbevaringstid. Sletting og kryptering av data er dekket i Trust Center.

Hosting og dataresidens

CRACI er hostet i Europa og tilbyr datalagring i EU, med bygg som kjøres på europeisk bare metal-infrastruktur. Plattformen kjører hos Hetzner, en tysk leverandør, i et datasenter i Tuusula i Finland. Se dataresidens for hvilke data CRACI håndterer.

Kontroller du får på selve bygget

En runner som ser hemmelighetene dine, bør også la deg begrense hvor de kan gå. CRACIs egress-policyer for nettverket setter en standard på deny eller allow for hver jobb, med 24 innebygde forhåndsinnstillinger for vanlige programvarekilder og typede egendefinerte kilder for registre som npm, PyPI, Cargo, Go proxy og OCI. Du kan også skrive eksplisitte regler for TLS, TCP, UDP og ICMP. Policyer valideres før jobben starter, blokkerer ved feil og avviser ukjente felt. Varsler flagger brudd på policyen.

Jobber går ut fra et stabilt egress-IP-område, så du kan slippe CRACI-runnere gjennom dine egne brannmurer etter adresse.

Tilgang i organisasjonen din

• Enterprise-planer støtter SAML Single Sign-On, med Google Workspace som identitetsleverandør.
• En revisjonslogg for administratorer registrerer administrative handlinger. Den er tilgjengelig i grensesnittet og kan ikke eksporteres ennå.
• API-tokens opprettes av administratorer, kan tilbakekalles når som helst og utløper etter 90 dager.

Slik holder du omfanget lite

Du trenger ikke gi CRACI hele organisasjonen din for å evaluere det.

1. Installer på utvalgte repositorier. Velg «Only select repositories» når du installerer appen, og velg ett eller to. Du kan utvide eller begrense utvalget senere fra organisasjonens Settings, under GitHub Apps, CRACI, Configure. Endringen trer i kraft umiddelbart.
2. Flytt én jobb om gangen. Bare jobber med runs-on: craci kjører på CRACI. Alt annet blir værende på runneren det bruker i dag.
3. Begynn med en jobb som har få hemmeligheter. En test- eller lint-jobb viser deg SBOM-en og nettverksdokumentasjonen uten å legge påloggingsinformasjon for publisering eller utrulling på en ny runner.
4. Slå på en default deny-policy for egress. Tillat pakkekildene jobben trenger, og ingenting annet.
5. Vit hvordan du kommer deg ut. I GitHub kan du sette appen på pause, noe som blokkerer tilgangen mens den forblir installert, eller avinstallere den, noe som fjerner tilgangen til organisasjonen din.

Sikkerhetsarbeidet vårt

Sikkerhetssiden vår forklarer hvordan vi jobber med dette: dokumentert, ikke påstått. Trust Center samler policyene, kontrollene og dokumentasjonen bak plattformen, og det er der du kan be om materiale til en leverandørvurdering.

Denne siden fremsetter ingen påstander om sertifiseringer. Gjeldende status for sikkerhetsprogrammet vårt og eventuelt revisjonsarbeid finner du i Trust Center.