CRACI vs. Azure Pipelines

Det korte svaret

Azure Pipelines er CI/CD-delen av Azure DevOps. Den bygger og tester på Linux, Windows og macOS, fungerer med Azure Repos og GitHub og ruller ut til virtuelle maskiner, containere, lokale mål og skymål. Ligger arbeidsoppfølgingen, repositoriene og utgivelsene dine i Azure DevOps, eller trenger du Windows- og macOS-bygg fra én Microsoft-kontrakt, passer den godt.

CRACI dekker en snevrere del og går dypere inn i den. Det er en runner for GitHub Actions: Mens hver jobb kjører, registrerer det hver ekstern avhengighet bygget henter inn, håndhever en egress-policy på byggets nettverk og lager SBOM-er, provenance-data og sårbarhetsovervåking ut fra den registreringen. I Azure Pipelines kommer den dokumentasjonen fra oppgavene og verktøyene du legger til i hver pipeline.

Først et praktisk poeng. CRACI støtter i dag bare GitHub Actions, med GitLab CI og Jenkins på veikartet. Azure Pipelines støttes ikke, så en pipeline flyttes til en GitHub Actions-workflow for å kjøre på CRACI.

Kort oppsummert

Hva Azure Pipelines gjør bra

Én plattform med Azure DevOps. Pipelines ligger ved siden av arbeidsoppfølging, Azure Repos og Azure Artifacts, så arbeidsoppgaver, kode, bygg og pakker finnes på ett sted. Den bygger også kode som ligger på GitHub.

Alle operativsystemer. Microsoft-hostede agenter kjører Linux, Windows og macOS, og én parallell jobb kjører hvilken som helst av dem til samme pris. Selvhostede agenter utvider det til dine egne maskiner, og Azure DevOps Server tar hele plattformen inn i eget datasenter.

Ubegrensede minutter per jobb. En betalt parallell jobb har ingen månedlig minuttgrense, og hver kjøring kan vare opptil 360 minutter. Et team som holder jobbene sine opptatt hele dagen, betaler en fast pris uansett hvor lenge byggene tar.

Innebygde utrullinger. Pipelines tar bygg helt frem til utrulling på virtuelle maskiner, containere, lokale servere og skymål.

Der CRACI er annerledes

SBOM-en kommer fra bygget

I Azure Pipelines kommer en SBOM fra en oppgave eller et skannersteg du legger til, som vanligvis leser manifester og lockfiler i etterkant. Bygg gjør ofte mer enn disse filene sier: Installasjonsskript laster ned kode, byggeskript henter ting under bygget, og cacher gjenoppretter pakker som ingen lockfile nevner. CRACI ser den trafikken fordi det er runneren. En pakkebevisst proxy registrerer hva hver jobb henter fra pakkekildene, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, og dokumentasjonen for avhengighetene følger med CI-cacher. Hver SBOM i CycloneDX eller SPDX angir hvor fullstendig den er, per jobb og per cache.

En policy på byggets nettverk

På Microsoft-hostede agenter er det ikke opp til deg å bestemme hva et bygg kan nå; på selvhostede agenter er det nettverksoppsett du selv bygger og vedlikeholder. CRACI legger en egress-policy på hver jobb: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, validert før jobben starter. Policyer blokkerer ved feil (fail closed), og brudd utløser et varsel.

Overvåking av det som er levert

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI samler sårbarheter på tvers av bygg og repositorier, vurderer overvåkede SBOM-er fortløpende på nytt etter hvert som sikkerhetsvarsler dukker opp, og viser hvilke tidligere bygg som inneholdt en sårbar avhengighet, så du vet i hvilken periode du var berørt.

Betale per minutt, ikke per parallell jobb

Azure Pipelines selger samtidighet: Hvert bygg du vil ha kjørende samtidig, trenger sin egen hostede jobb til $40 i måneden, i én størrelse med 2 kjerner og 7 GB. Er en jobb opptatt 8 timer på hver av 22 arbeidsdager, blir den omtrent $0.0038 per minutt, litt under CRACIs $0.004 for 2 vCPU. Er den opptatt halvparten så lenge, blir det omtrent $0.0076. Bygg kommer i støt, så jobbene som er kjøpt for den travleste timen, står ubrukte resten av dagen.

CRACI tar bare betalt for byggeminutter: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift og uten kostnad per SBOM. En jobb som trenger mer kraft, kan bruke opptil 32 vCPU. Se priser for CI-runnere for den fullstendige sammenligningen.

Hvilken som passer

• Bli på Azure Pipelines hvis arbeidsoppfølgingen, repositoriene og utgivelsene dine ligger i Azure DevOps, hvis du trenger Windows- eller macOS-bygg, hvis du ruller ut fra de samme pipelinene, eller hvis jobbene dine er opptatt hele dagen.
• Velg CRACI hvis koden din ligger på GitHub eller er på vei dit, og du vil at hvert bygg skal lage en registrering av hva som gikk inn i utgivelsen, priset per byggeminutt.
• Bruk begge under en gradvis overgang: Valget tas per pipeline, så Linux-bygg kan flyttes til GitHub Actions på CRACI mens Windows-, macOS- og utrullingspipelines blir værende.

Vær klar over hva du gir avkall på ved å velge CRACI. Det ruller ikke ut programvare, det kjører bare Linux-jobber i dag, med Windows og macOS på veikartet, og kundehostede runnere står på veikartet for Enterprise.

For regulerte produkter

Rammeverk som EUs Cyber Resilience Act forventer at produsenter vet hva som er i hver utgivelse, og håndterer sårbarhetene i den, med rapporteringsplikter fra september 2026. I Azure Pipelines kommer den dokumentasjonen fra de oppgavene og skannerne du kobler inn i hver pipeline. CRACI lager den ut fra byggeregistreringen og eksporterer SBOM-er som CycloneDX eller SPDX. Det automatiserer en betydelig del av innsikten i og dokumentasjonen for programvareleverandørkjeden som et selskap trenger i sin bredere CRA-prosess; ingen av verktøyene gjør et produkt samsvarende alene.

Flytte en pipeline til CRACI

GitHubs eget verktøy GitHub Actions Importer konverterer Azure DevOps-pipelines til GitHub Actions-workflows. GitHub sikter mot at 80 % av hver workflow skal konverteres automatisk, og sier at hver konverterte workflow bør kontrolleres før den kjører i produksjon, så regn med noe manuelt arbeid. Når en pipeline kjører som en GitHub Actions-workflow, kjører den på CRACI med én linje:

runs-on: craci

Kjøringene vises fortsatt i GitHub-grensesnittet. Les mer om SBOM-generering under bygget, se alternativer til Azure Pipelines, sammenlign CI/CD-plattformer, eller se priser.