CRACI og JFrog Artifactory

To utsiktspunkter på den samme leverandørkjeden

Mange utviklingsorganisasjoner ruter pakketrafikken gjennom JFrog Artifactory. Et remote repository fungerer som en cachende proxy for et offentlig register som npm eller PyPI, henter pakker ved behov og beholder en kopi. Virtuelle repositorier samler flere kilder bak én URL. Dine egne byggeresultater ligger i lokale repositorier. Det gir deg ett sted å se og styre hva som kommer inn i bedriften.

CRACI står et annet sted. Det er CI-runneren GitHub Actions-jobbene dine kjører på, og mens hver jobb kjører, registrerer det de eksterne avhengighetene jobben henter inn. Artifactory svarer på "hva har flytt gjennom repositoriene våre?" CRACI svarer på "hva brukte akkurat dette bygget, og hvilken artefakt kom ut av det?"

Hva Artifactory gjør bra

Artifactory er en moden repository manager. Den gir team pålitelig, cachet tilgang til upstream-pakker, et hjem for interne artefakter og ett kontrollpunkt for mange pakketyper. Rundt den legger JFrog Platform til mer:

• Build-info. Med JFrog CLI legger du til et byggenavn og -nummer i kommandoene dine og publiserer en JSON-registrering av avhengighetene som ble løst, artefaktene som ble produsert, miljøvariabler og Git-detaljer. Den registreringen støtter sporbarhet, promotering av bygg og Xray-skanning.
• Xray. Skanner artefakter og bygg for sårbarheter og eksporterer SBOM-er i SPDX og CycloneDX. JFrogs lisensmatrise oppgir Xray som inkludert i abonnementene Pro X, Enterprise X og Enterprise+ (per september 2026).
• Curation. Blokkerer ondsinnede eller sårbare pakker i remote repository før de når utviklere, også pakker som allerede er i den eksterne cachen.

Blokkering på pakkenivå i registeret er en reell styrke. CRACI blokkerer ikke enkeltpakker i dag; blokkeringslister for pakker for hele organisasjonen står på CRACIs veikart.

Der CRACI bidrar

Innsyn som ikke er avhengig av ruting

Artifactory ser det som rutes gjennom det. Bygg samarbeider ikke alltid. En jobb kan laste ned en verktøykjede fra en GitHub-utgivelse, installere OS-pakker, hente et base-image fra et offentlig register eller kjøre et skript som henter en binærfil. JFrogs egen dokumentasjon påpeker at avhengigheter hentet av andre verktøy kan registreres manuelt med build-add-dependencies, noe som betyr at noen må vite om dem.

CRACI registrerer på runneren. En pakkebevisst proxy observerer trafikk til pakkekilder under jobben, og dekker npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Hvis npm- eller PyPI-installasjonene dine går gjennom et Artifactory-speil, fungerer det: CRACI registrerer også disse pakkene.

Dokumentasjon per bygg uten ekstra steg

Build-info er verdifullt, men det er noe du legger til i hver pipeline. På CRACI finnes registreringen for hver jobb fordi runneren produserer den. Dokumentasjonen av avhengigheter følger med CI-cacher, så en pakke gjenopprettet fra en cache likevel blir regnet med. Hver SBOM har en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Når en registrering har et hull, sier den fra.

Hold bygg på den godkjente veien

Fordi CRACI kjører jobben, kan du sette egress-policyen for nettverket. Policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder (npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git) og eksplisitte regler for TLS, TCP, UDP og ICMP. De valideres før jobben starter, og blokkerer ved feil (fail closed). En policy som tillater Artifactory-verten din og nekter direkte tilgang til offentlige registre, bidrar til at bygg faktisk bruker den styrte veien. CRACI varsler deg når en jobb bryter policyen sin.

Byggedokumentasjon ved siden av Artifactory

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. Lagre artefakten i Artifactory slik du gjør i dag; registreringen av hva bygget hentet, kommer fra CRACI.

For team som står overfor EUs Cyber Resilience Act, gir den registreringen dokumentasjon på utgivelsesnivå. CRACI samler sårbarheter på tvers av bygg og repositorier, vurderer overvåkede SBOM-er kontinuerlig på nytt og eksporterer dem som CycloneDX eller SPDX. Se CRA-dokumentasjon og CRA-samsvar.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Slik passer de sammen

1. Behold Artifactory som pakkeproxy, artefaktlager og distribusjonspunkt for utgivelser.
2. Flytt GitHub Actions-jobber til CRACI ved å endre runs-on til craci. Workflows forblir de samme, og kjøringene vises fortsatt i GitHub-grensesnittet.
3. Pek npm- og PyPI-installasjoner mot Artifactory-speilene dine slik du gjør i dag.
4. Bruk en CRACI-egress-policy for å holde bygg på godkjente kilder, inkludert Artifactory.
5. Bruk CRACIs SBOM, provenance og nettverksspor per bygg som dokumentasjon for hver utgivelse.

Er du avhengig av JFrog build-info eller Curation i dag, behold dem. CRACI støtter bare GitHub Actions i dag (GitLab CI og Jenkins står på veikartet), så pipelines på andre CI-systemer blir der de er.

Skal du erstatte selve Artifactory, se JFrog Artifactory-alternativer.

Vanlige spørsmål

Erstatter CRACI Artifactory?

Nei. CRACI er ikke en repository manager. Det lagrer ikke pakkene eller utgivelsesbinærfilene dine, og det distribuerer dem ikke. Det kjører byggene dine og registrerer dokumentasjon om dem.

Overlapper CRACI med Xray?

Delvis. Begge eksporterer SBOM-er i CycloneDX og SPDX, og begge hjelper deg med å spore sårbarheter. Forskjellen er inputen. Xray skanner artefaktene og byggene JFrog kjenner til. CRACIs SBOM- og sårbarhetsvisning kommer fra det hvert bygg hentet mens det kjørte, på tvers av bygg og repositorier. Hvis Xray er bakt inn i utgivelsesprosessen din, behold det, og behandle CRACIs registrering per bygg som en ekstra, uavhengig kilde.

Hvilke Artifactory-repositorietyper fungerer med CRACI?

npm- og PyPI-speil i Artifactory er bekreftet å fungere med CRACI-bygg. For andre pakketyper, snakk med oss om oppsettet ditt før du flytter disse pipelinene.