CRACI vs. Buildkite

Det korte svaret

Buildkite er en hybrid CI/CD-plattform. SaaS-kontrollplanet håndterer orkestreringen, og agentene som kjører jobbene dine, ligger på din egen infrastruktur, lokalt eller i skyen. Buildkite oppgir at kildekode og hemmeligheter blir i ditt eget miljø. Plattformen tilbyr også fullt administrerte hostede agenter hvis du helst ikke vil drifte dine egne.

CRACI er en administrert GitHub Actions-kompatibel runner bygget for sikkerhet i leverandørkjeden. Den registrerer hver ekstern avhengighet et bygg henter, håndhever en egress-policy på byggets nettverk og lager SBOM-er, provenance-data og CRA-dokumentasjon ut fra den registreringen. Enkelt sagt: Buildkite er tradisjonell CI med maksimal kontroll over infrastrukturen; CRACI er sikkerhetsbevisst CI der runneren er dokumentasjonen.

CRACI støtter i dag bare GitHub Actions, så det kjører ikke Buildkite-pipelines. Et team på Buildkite må flytte en pipeline til GitHub Actions for å bruke CRACI-runnere, eller vente på andre CI-systemer, som står på veikartet.

Hva Buildkite gjør bra

Kontroll over beregningskraften. Fordi du hoster agentene, velger du maskinvaren, operativsystemet, nettverket og regionen. Agentene poller Buildkites agent-API over HTTPS, så du trenger ikke åpne innkommende porter i brannmuren. Den modellen passer store monorepoer, spesialisert maskinvare og organisasjoner med policyer som holder kildekoden innenfor egen perimeter.

Integritet i pipelinen. Med signerte pipelines signeres jobber ved opplasting, og agentene verifiserer signaturen før de kjører dem, så en agent kjører ikke en jobb der instruksjonene er endret etter opplasting.

Verktøy rundt bygget. Test Engine oppdager og setter ustabile tester i karantene og fordeler tester på parallelle jobber. Package Registries kan publisere artefakter med SLSA-provenance, som Buildkite sier oppfyller SLSA Build Level 1; den funksjonen er tilgjengelig på Enterprise-planer.

Fleksible priser. Per september 2026 har Buildkite en Free-plan og en Pro-plan til $30 per aktiv bruker per måned, med 10 selvhostede agenter inkludert i Pro og flere til $3.50 per agent per måned. Hostede Linux-agenter koster $0.004 per vCPU-minutt, målt på sekundet.

Der CRACI er annerledes

Sikkerhetsdokumentasjon er en del av runneren

Med selvhostede agenter er det opp til deg å sikre byggemiljøet. Buildkites egne sikkerhetsråd sier at du skal installere minimale operativsystemer, slå av innkommende SSH og håndheve strenge kontroller av utgående nettverkstrafikk. Det er en rimelig ansvarsfordeling, og det betyr at dokumentasjonen for leverandørkjeden avhenger av hva teamet ditt bygger rundt agentene.

På CRACI følger det laget med runneren. En pakkebevisst proxy registrerer trafikken til pakkekildene mens hver jobb kjører, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, i tillegg til forhåndsinnstillinger for nedlastinger. Dokumentasjonen for avhengighetene følger med CI-cacher. Hver jobb lager en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Egress-policy uten å bygge den selv

CRACIs egress-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git, og eksplisitte regler for TLS, TCP, UDP og ICMP. Policyer valideres før jobben starter, blokkerer ved feil (fail closed) og sender et varsel ved brudd.

Provenance og overvåking

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. Det samler sårbarheter på tvers av bygg og repositorier og vurderer overvåkede SBOM-er fortløpende på nytt.

Avveiningen

CRACI finnes bare som administrert tjeneste. Jobber kjører i isolerte virtuelle maskiner på CRACIs infrastruktur, og kildekoden behandles i jobbens VM så lenge bygget varer, og lagres ikke. På Enterprise-planen tilbyr CRACI datalagring i EU med byggekjøring på europeisk bare metal-infrastruktur. Krever policyen din bygg på egen maskinvare, dekker Buildkites modell det kravet, og det gjør ikke CRACIs.

Hvilken som passer

• Buildkite hvis du trenger bygg på din egen maskinvare eller ditt eget nettverk, kjører Windows- eller macOS-bygg, bruker GitLab eller Bitbucket, eller opererer i en skala der det lønner seg å eie beregningskraften.
• CRACI hvis du er på GitHub Actions og vil ha byggdokumentasjon uten å bygge og drifte den selv: registrerte avhengigheter, egress-policy og CRA-dokumentasjon fra én runner.
• Begge hvis organisasjonen din er delt: Buildkite for pipelines som må bli på din maskinvare, CRACI for GitHub Actions-workflows på Linux. Tunge Linux-bygg, som Yocto-images, kan kjøre på CRACI-runnere med opptil 32 vCPU og 96 GB RAM, som beskrevet i CRACIs Yocto-veiledning.

For Cyber Resilience Act

EUs Cyber Resilience Act krever at produsenter vet hva som er i hver utgivelse, og håndterer sårbarhetene i den, med rapporteringsplikter fra september 2026 og full anvendelse fra desember 2027. På Buildkite kommer den dokumentasjonen fra verktøyene du kjører på agentene dine. CRACI lager den ut fra byggeregistreringen, fortsetter å overvåke det som er levert, og eksporterer SBOM-er som CycloneDX eller SPDX, sårbarheter inkludert. Det automatiserer en betydelig del av innsikten i og dokumentasjonen for programvareleverandørkjeden som selskaper trenger i sin bredere CRA-samsvarsprosess.

Legge til CRACI

For et repositorium på GitHub med GitHub Actions-workflows installerer du CRACI GitHub App i organisasjonen din og setter runner-etiketten:

runs-on: craci

Kjøringene vises fortsatt i GitHub-grensesnittet. Les mer om SBOM-generering under bygget og hvordan CRACI håndterer sikkerhet, eller se priser.