CRACI vs. Jenkins

Det korte svaret

Jenkins kaller seg "the leading open source automation server", og med god grunn: Det kjører der du installerer det, fordeler arbeid på så mange maskiner du gir det, og mer enn 2 300 plugins fra fellesskapet kobler det til nesten ethvert verktøy. Hvis bygg må holde seg helt innenfor ditt eget nettverk, eller pipelinene dine er avhengige av plugins uten tilsvarende alternativer andre steder, er Jenkins vanskelig å erstatte.

CRACI er et annet slags produkt. Det er en administrert runner for GitHub Actions: Det er ingen kontroller å oppgradere og ingen agent å patche. Mens hver jobb kjører, registrerer CRACI hver ekstern avhengighet bygget henter inn, håndhever en egress-policy på byggets nettverk og produserer SBOM-er, provenance-data og sårbarhetsovervåking fra den registreringen. Jenkins kan gjøre deler av dette gjennom plugins du velger, konfigurerer og holder oppdatert; CRACI gjør selve runneren til sikkerhetsregistreringen.

Ett praktisk poeng kommer først. CRACI støtter GitHub Actions i dag, med Jenkins og GitLab CI på veikartet og uten dato. For å kjøre på CRACI nå må en Jenkins-pipeline først flyttes til en GitHub Actions-workflow.

Oversikt

Hva Jenkins gjør bra

Kjører der du trenger det. Jenkins kjører på dine egne servere, i ditt eget nettverk, uten noe SaaS-kontrollplan involvert. Agenter kan være Linux, Windows, macOS eller enhver annen maskin du kan koble til, så én kontroller kan bygge en backend, en skrivebordsklient og firmware.

Plugins for nesten alt. Plugin-økosystemet er Jenkins' største styrke. Kildekontroll, byggeverktøy, testrapporter, utrullingsmål og sikkerhetsskannere har alle plugins, og team med uvanlige verktøykjeder oppdager ofte at Jenkins er den eneste CI-en som allerede støtter dem.

Ingen lisenskostnad. Jenkins er gratis og har åpen kildekode. Kostnadene dine er maskinene det kjører på, og tiden teamet ditt bruker på å drifte det.

Der CRACI skiller seg ut

Ingenting å drifte

En Jenkins-installasjon er et system teamet ditt eier: kontrolleren, agentene, pluginene og oppgraderingene. Jenkins-prosjektet publiserer ofte sikkerhetsadvisories for kjernen og plugins, flere i måneden i 2026 (for eksempel 2. og 16. september og 5. august), og det er din jobb å følge opp hver av dem. CRACI kjører jobber på administrerte runnere, i isolerte virtuelle maskiner med én VM per jobb, så det finnes ingen byggeserver du må patche.

SBOM-en kommer fra bygget

På Jenkins kommer en SBOM fra en plugin eller et skannersteg du legger til, som vanligvis leser manifester og lockfiler i etterkant. Bygg gjør ofte mer enn disse filene sier: Installasjonsskript laster ned kode, byggeskript henter under bygget, og cacher gjenoppretter pakker som ingen lockfil nevner. CRACI ser denne trafikken fordi det er runneren. En pakkebevisst proxy registrerer hva hver jobb henter fra pakkekilder, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, og dokumentasjonen av avhengigheter følger med CI-cacher. Hver CycloneDX- eller SPDX-SBOM angir hvor fullstendig den er, per jobb og per cache.

En policy på byggets nettverk

På Jenkins betyr kontroll over hva et bygg kan nå, brannmurregler eller proxyer rundt agentene dine, som du selv utformer og vedlikeholder. På CRACI avgjør en egress-policy på hver jobb hvilke verter den kan nå: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, validert før jobben starter. Policyer blokkerer ved feil (fail closed), og brudd utløser et varsel.

Overvåking av det som ble levert

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI samler sårbarheter på tvers av bygg og repositorier, fortsetter å vurdere overvåkede SBOM-er på nytt når advisories dukker opp, og viser hvilke tidligere bygg som inneholdt en sårbar avhengighet, så du vet hvilken periode du var berørt.

Priser per byggeminutt

Jenkins har ingen lisensavgift, men det er ikke gratis å drifte: Du betaler for kontrolleren og agentene, enten de står ledige eller er i bruk, og for menneskene som holder dem oppdatert. CRACI tar bare betalt for byggeminutter: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift og uten betaling per SBOM.

Hva som passer

• Bli på Jenkins hvis bygg må kjøre helt på din egen infrastruktur, hvis du er avhengig av plugins uten tilsvarende i GitHub Actions, hvis du trenger bygg på Windows eller macOS, eller hvis du har folk til å drifte det og det fungerer.
• Velg CRACI hvis koden din er på GitHub, du flytter eller er klar til å flytte pipelines til GitHub Actions, og du vil slutte å drifte byggeservere og samtidig få en registrering av hva som gikk inn i hver utgivelse.
• Bruk begge under en gradvis flytting: Flytt nye prosjekter og Linux-pipelines til GitHub Actions på CRACI, og la stabile Jenkins-jobber bli der de er.

Vær klar over hva du gir opp ved å velge CRACI i dag. Det kjører bare Linux-jobber, med Windows og macOS på veikartet; kundehostede runnere står på veikartet for Enterprise; og Jenkins-pipelines må bli GitHub Actions-workflows til støtten for Jenkins kommer.

For regulerte produkter

Rammeverk som EUs Cyber Resilience Act forventer at produsenter vet hva som er i hver utgivelse, og håndterer sårbarhetene i den, med rapporteringsplikter fra september 2026. På Jenkins kommer denne dokumentasjonen fra de pluginene og skannerne du kobler inn i hver pipeline. CRACI produserer den fra byggeregistreringen og eksporterer SBOM-er som CycloneDX eller SPDX. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen en bedrift trenger for sin bredere CRA-prosess; ingen av verktøyene gjør et produkt samsvarende på egen hånd.

Slik flytter du en pipeline til CRACI

GitHubs eget verktøy GitHub Actions Importer konverterer Jenkins-pipelines til GitHub Actions-workflows. GitHub sikter mot at 80 % av hver workflow skal konverteres automatisk, og sier at hver konverterte workflow bør inspiseres før den kjører i produksjon, så planlegg for noe manuelt arbeid. Når en pipeline kjører som en GitHub Actions-workflow, kjører den på CRACI med én linje:

runs-on: craci

Kjøringene vises fortsatt i GitHub-grensesnittet. Les mer om SBOM-generering under bygget, se Jenkins-alternativer, sammenlign CI/CD-plattformer, eller se priser.