CRACI vs. CircleCI

Det korte svaret

CircleCI er en moden, fleksibel CI/CD-plattform. Den kobles til GitHub, GitLab og Bitbucket, kjører jobber på et bredt utvalg maskiner, fra Docker-containere til macOS og GPU-er, og lar deg pakke gjenbrukbar konfigurasjon som orbs. På sikkerhetssiden beskytter CircleCI påloggingsinformasjon og overlater skanning til orbs og tredjepartsverktøy.

CRACI går den andre veien: Runneren er sikkerhetsregistreringen. Den kjører GitHub Actions-jobber, observerer hver ekstern avhengighet hvert bygg henter, håndhever en egress-policy på byggets nettverk og lager SBOM-er, provenance-data og CRA-dokumentasjon ut fra det den så. Det er forskjellen på tradisjonell CI og sikkerhetsbevisst CI.

CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. CircleCI støttes ikke ennå. Team på CircleCI må flytte en pipeline til GitHub Actions for å bruke CRACI-runnere, eller vente på andre CI-systemer, som står på veikartet.

Hva CircleCI gjør bra

Bredde i beregningskraft. CircleCI tilbyr ressursklasser for Docker, Linux VM, Arm, Windows, macOS og GPU, så én plattform kan bygge en backend, en Windows-klient og en iOS-app. Selvhostede runnere utvider det til dine egne Linux-, Windows- og macOS-maskiner og til Kubernetes, og jobbtid på runnere bruker ikke kreditter.

Hastighetsfunksjoner. Docker-lagcaching er tilgjengelig på alle planer. Testdeling fordeler en testpakke på parallelle executorer etter navn, filstørrelse eller historiske tidsdata, noe som kutter den faktiske kjøretiden på store testpakker.

Gjenbrukbar konfigurasjon. Orbs pakker jobber, kommandoer og executorer slik at team kan gjenbruke dem på tvers av prosjekter, og de gjør det enkelt å koble til tredjepartsverktøy, også sikkerhetsskannere.

Hygiene for påloggingsinformasjon. CircleCIs veiledning om leverandørkjeden handler først og fremst om å beskytte hemmeligheter: Del dem inn i contexts, legg utrullings- og signeringsnøkler i begrensede contexts styrt av VCS-gruppene dine, og bruk OIDC-tokens slik at jobber når skytjenester uten langlivet påloggingsinformasjon lagret i CircleCI.

Der CRACI er annerledes

Bygget er sannhetskilden

På en tradisjonell CI-plattform lages en SBOM av et verktøy du legger til i pipelinen, og det leser vanligvis manifester og lockfiler. CRACI observerer bygget i stedet. En pakkebevisst proxy registrerer trafikken til pakkekildene mens jobben kjører, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen for avhengighetene følger med CI-cacher, så en pakke gjenopprettet fra en cache telles fortsatt med.

Du vet hvor fullstendig SBOM-en er

Hver jobb lager en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Byggets nettverk har en policy

CircleCIs funksjon for IP-områder sender jobber gjennom kjente CircleCI-adresser, slik at dine egne systemer kan tillate dem. Det løser innkommende tilgang. CRACI legger til kontroll i den andre retningen: egress-policyer for hver jobb, default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder og eksplisitte regler for TLS, TCP, UDP og ICMP. Policyer valideres før jobben starter, og blokkerer ved feil (fail closed). CRACI tilbyr også et stabilt IP-område for egress.

Provenance og overvåking fra samme registrering

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI samler sårbarheter på tvers av bygg og repositorier og fortsetter å vurdere overvåkede SBOM-er på nytt.

Hvilken som passer

• Bli på CircleCI hvis koden din ligger på GitLab eller Bitbucket, hvis du er avhengig av Windows-, macOS- eller GPU-bygg, eller hvis du kjører jobber på din egen maskinvare.
• Vurder CRACI hvis koden din ligger på GitHub og du veier GitHub Actions mot CircleCI, og du leverer programvare der du må vise hva som gikk inn i hver utgivelse.
• Bruk begge under en gradvis overgang: Behold macOS- og Windows-pipelines på CircleCI, og kjør Linux-workflows i GitHub Actions på CRACI der byggdokumentasjon betyr mest.

For Cyber Resilience Act

EUs Cyber Resilience Act forventer at produsenter vet hva som er i hver utgivelse, og håndterer sårbarhetene i den, med rapporteringsplikter fra september 2026 og full anvendelse fra desember 2027. På CircleCI kommer den dokumentasjonen fra de skannerne og orbene du kobler inn i pipelinene dine. CRACI lager den ut fra byggeregistreringen og eksporterer SBOM-er som CycloneDX eller SPDX, sårbarheter inkludert. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess.

Flytte en pipeline til CRACI

CRACI kjører GitHub Actions-workflows, så en CircleCI-pipeline trenger først en GitHub Actions-ekvivalent. Når den er på plass, installerer du CRACI GitHub App i organisasjonen din og setter runner-etiketten:

runs-on: craci

Kjøringene vises fortsatt i GitHub-grensesnittet. Jobber får Docker Engine, Buildx og Compose v2, runnerstørrelser fra 1 til 32 vCPU med 3 GB RAM hver, og støtte for GitHub Actions-cache. Les mer om SBOM-generering under bygget, eller se priser og startup-programmet.