CRACI vs. Harness

Det korte svaret

Harness, grunnlagt i 2017 og med base i San Francisco, selger en plattform for alt som skjer etter at koden er skrevet: kontinuerlig integrasjon, kontinuerlig levering, feature flags, styring av skykostnader, chaos engineering og sikkerhetstesting. Supply Chain Security-modulen (SCS) legger til SBOM-generering, SLSA-provenance, policy gates med OPA og posture-sjekker for repositorier og pipelines. Vil du ha én leverandør for hele leveringspipelinen, på tvers av flere Git-leverandører, er Harness bygget for det.

CRACI er smalere og går dypere inn i bygget. Det er en GitHub Actions-runner: Mens hver jobb kjører, registrerer det hver ekstern avhengighet bygget henter inn, håndhever en egress-policy på byggets nettverk og produserer SBOM-er, provenance-data og sårbarhetsovervåking fra den registreringen. Harness legger til leverandørkjedesteg i en pipeline; CRACI gjør selve runneren til sikkerhetsregistreringen.

Ett praktisk poeng kommer først. CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Pipelines i Harness CI må flyttes til GitHub Actions for å kjøre på CRACI.

Oversikt

Hva Harness gjør bra

Én plattform for levering. Harness dekker CI, CD, GitOps, feature flags, infrastruktur som kode, chaos engineering og styring av skykostnader, med OPA-basert håndheving av policyer på tvers av dem. Det fungerer med GitHub, GitLab, Bitbucket, Azure Repos og sine egne Harness Code-repositorier, og sier at det betjener mer enn 1 000 enterprise-kunder med mer enn 1 200 ansatte.

Valg av byggeinfrastruktur. Harness Cloud kjører bygg på Harness-administrerte Linux-, Windows- og macOS-maskiner: Linux AMD64 fra 2 til 96 kjerner, ARM64 fra 2 til 64 kjerner til samme sats, og macOS på Apple M4. Nested virtualization er tilgjengelig på Linux AMD64. Du kan også kjøre bygg på dine egne Kubernetes-klynger, VM-er eller bare metal. Test Intelligence kjører bare testene en endring påvirker, og Build Intelligence og cache-funksjoner gjenbruker uendrede resultater og avhengigheter.

Leverandørkjedefunksjoner i pipelinen. SBOM Orchestration-steget i SCS-modulen genererer en SBOM for et container-image eller et koderepository med Syft eller cdxgen, i SPDX eller CycloneDX, og kan ta inn SBOM-er fra andre verktøy. Harness sier at det genererer og oppdaterer SBOM-er ved hvert bygg. OPA-policyer kan blokkere bygg og utrullinger på grunn av komponenter, lisenser eller provenance, og en utbedringssporer følger sårbare artefakter.

SLSA-provenance. Harness dokumenterer SLSA Build Level 1, 2 og 3 under SLSA v1.0, med provenance signert gjennom in-toto-attestasjoner og cosign. Dokumentasjonen sier at Level 3 krever herdet byggeinfrastruktur eller Harness Cloud, som isolerer byggeprosesser fra hverandre.

Posture- og pipeline-sjekker. SCS kontrollerer repositorier og pipelines mot OWASP Top 10 CI/CD Security Risks og CIS-benchmarks, og flagger upinnede, uverifiserte og overprivilegerte GitHub Actions. Harness tilbyr også SCS-stegene sine som GitHub Actions og GitLab CI/CD-komponenter, så modulen er ikke bundet til Harness CI; disse stegene krever en Harness-konto med SCS-lisens.

Der CRACI skiller seg ut

SBOM-en kommer fra bygget, ikke fra en skanning av resultatet

Syft og cdxgen er skannere: De leser et image eller et repository i etterkant og utleder hva som er i det, fra lockfiler, manifester og pakkedatabaser. Det fungerer bra når disse filene forteller hele historien. Bygg gjør ofte mer: Installasjonsskript laster ned kode, Rust-byggeskript henter under bygget, og cacher gjenoppretter pakker som ingen lockfil nevner.

CRACI ser denne trafikken fordi det er runneren. En pakkebevisst proxy registrerer hva hver jobb henter fra pakkekilder, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger, og dokumentasjonen av avhengigheter følger med CI-cacher. Det registrerer de skjulte avhengighetene som lockfilbaserte verktøy går glipp av, og hver SBOM angir hvor fullstendig den er, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

En policy på byggets nettverk, ikke deteksjon i etterkant

Harness sier at modulen oppdager unormal atferd hos CI-runnere, inkludert nettverkskall og rettighetseskalering. CRACI går den andre veien: En egress-policy på runneren avgjør hvilke verter en jobb kan nå. Policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, valideres før jobben starter, og blokkerer ved feil (fail closed). Fordi en default deny-policy bare tillater det bygget trenger, i stedet for å lete etter kjente skadelige verter, blokkerer den dataeksfiltrering til en angripers server selv ved et angrep ingen har sett før. Brudd utløser et varsel.

Provenance og overvåking fra den samme registreringen

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå; Harness signerer sin provenance og dokumenterer nivå 1 til 3, og hvis signert provenance eller et SLSA-nivå er et innkjøpskrav, taler det for Harness. CRACI samler sårbarheter på tvers av bygg og repositorier, fortsetter å vurdere overvåkede SBOM-er på nytt når advisories dukker opp, og viser hvilke tidligere bygg som inneholdt en sårbar avhengighet, så du vet hvilken periode du var berørt.

Priser du kan lese

CRACI tar bare betalt for byggeminutter: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift og uten betaling per SBOM. Harness publiserer satsene for Harness Cloud, $0.005 per minutt for en Linux-maskin med 2 kjerner og 7 GB og $0.080 for 32 kjerner, fakturert til nærmeste minutt, mens de betalte planene og SCS-modulen prises via salg. CRACIs listepris er 20 % lavere per minutt i begge størrelser ($0.004 mot $0.005, $0.064 mot $0.080); Harness-maskiner har mer minne per kjerne.

Hva som passer

• Bli på Harness hvis du vil ha CI, CD, feature flags og kostnadsstyring fra én leverandør, hvis koden din ligger på GitLab, Bitbucket eller Azure Repos, hvis du trenger Windows, macOS eller din egen byggehardware, eller hvis et dokumentert SLSA Build Level 3 er et krav.
• Velg CRACI hvis koden din er på GitHub og du kjører eller planlegger å kjøre GitHub Actions, og du vil at SBOM-en, nettverkspolicyen og provenance skal komme fra runneren som utførte bygget, priset per byggeminutt.

Vær klar over hva du gir opp ved å velge CRACI. Det ruller ikke ut programvare, kjører ikke feature flags og styrer ikke skykostnader, og det sjekker ikke repositorier og pipelines mot posture-benchmarks og skanner ikke kildekode. Det kjører bare Linux-jobber i dag, med Windows og macOS på veikartet, og kundehostede runnere står på veikartet for Enterprise.

For regulerte produkter

Rammeverk som EUs Cyber Resilience Act forventer at produsenter vet hva som er i hver utgivelse, og håndterer sårbarhetene i den, med rapporteringsplikter fra september 2026. Harness leverer SBOM-er, provenance og policyresultater fra pipeline-stegene sine. CRACI produserer dokumentasjonen fra byggeregistreringen og eksporterer SBOM-er som CycloneDX eller SPDX. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen en bedrift trenger for sin bredere CRA-prosess; ingen av verktøyene gjør et produkt samsvarende på egen hånd.

Slik flytter du en pipeline til CRACI

CRACI erstatter runneren, ikke GitHub Actions, og kjøringene vises fortsatt i GitHub-grensesnittet. Når en pipeline kjører som en GitHub Actions-workflow, kjører den på CRACI med én linje:

runs-on: craci

Les mer om SBOM-generering under bygget, sammenlign CI/CD-plattformer, se Harness-alternativer, eller se priser.