CRACI vs. Namespace

Det korte svaret

Namespace er utviklerinfrastruktur: administrerte GitHub Actions-runnere, eksterne Docker-byggere, cache-volumer, Bazel remote execution og utviklingsmiljøer i skyen, alt på hardware Namespace drifter selv. CRACI er en GitHub Actions-kompatibel runner bygget rundt leverandørkjedesikkerhet. Hver jobb produserer en SBOM av det den faktisk hentet, og kjører under en egress-policy.

Begge produktene kan begrense hva et bygg når på nettverket, og Namespaces egress-policyer er godt utformet. Forskjellen er hva annet som skjer på runneren: Namespace fokuserer på hastighet, plattformer og caching, og CRACI registrerer bygget og fører den registreringen videre gjennom sårbarhetsovervåking og CRA-dokumentasjon. Begge erstatter den GitHub-hostede runneren, så du velger én.

Oversikt

Hva Namespace gjør bra

• Plattformer. Linux på AMD64 (AMD EPYC) og ARM64 (AmpereOne, og Apple Silicon i early access), Windows på AMD EPYC, og macOS på Apple M5 Max eller M4 Pro. Windows-runnere følger med Team-planen og oppover.
• Runnerprofiler. Du oppretter en profil i dashbordet med et operativsystem og en maskinstørrelse, og refererer til den i runs-on. Størrelsene går opp til 64 vCPU-er på Linux, og Namespace sier at support kan låse opp inntil 512 GB RAM.
• Caching. Cache-volumer beholder data på lokal lagring mellom kjøringer, så jobber slipper å laste opp og ned et cache-arkiv hver gang. Namespace tilbyr også caching for Docker-bygg, Bazel remote cache og execution, og cacher for Turborepo og Gradle.
• Egress-policyer. Policyer kjører i BLOCK-modus, som nekter alt som ikke er tillatt, eller ADVISORY-modus, som registrerer de samme beslutningene uten å blokkere, så du kan bygge en tillatelsesliste fra ekte trafikk. Regler matcher domener, et administrert github-actions-regelsett holder runnerne i gang, og med deep packet inspection kan en policy sette inn hemmeligheter i forespørselshoder eller rute trafikk gjennom en proxy. Et dashbord grupperer tillatte og nektede forespørsler etter domene, og hver instans har sin egen egress-visning.
• Tillit. Namespace har SOC 2 Type II, med rapporten tilgjengelig i Trust Center, og tilbyr regionsbegrenset datalagring på enterprise-planer.

Namespace publiserer kunderesultater som at DuckDB kjører CI-en sin "10x faster". Det er Namespaces tall for disse kundene.

Der CRACI skiller seg ut

CRACI behandler bygget som sannhetskilden for det du leverer.

En registrering av hva bygget hentet

Mens hver jobb kjører, registrerer en pakkebevisst proxy trafikk til pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så en pakke gjenopprettet fra en cache likevel blir regnet med. Hver jobbs SBOM, i CycloneDX eller SPDX, har en fullstendighetsstatus per jobb og per cache. Namespaces egress-logger forteller deg hvilke domener en runner kontaktet. CRACIs registrering forteller deg hvilke pakker og versjoner bygget hentet fra dem.

Egress-policy, rettferdig sammenlignet

CRACI-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git over HTTPS og SSH, og eksplisitte regler for TLS, TCP, UDP og ICMP. Policyer valideres før jobben starter, blokkerer ved feil (fail closed), avviser ukjente felt og sender et varsel ved brudd.

Namespace ligger foran på to punkter. Advisory-modusen lar deg observere en policy før du håndhever den, og CRACIs monitor-modus står fortsatt på veikartet. Hemmelighetsinnsetting og proxy-regler har ikke noe tilsvarende hos CRACI. Der CRACI skiller seg ut, er at kildene er typet etter pakkeøkosystem og protokoll i stedet for oppført som domener, og at den samme jobben som kjører under policyen, også produserer registreringen av pakkene den hentet.

Provenance og overvåking

• Provenance-data. API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå.
• Overvåking av det som ble levert. Overvåkede SBOM-er vurderes kontinuerlig på nytt mot nye sårbarheter, og funn samles på tvers av bygg og repositorier.

Pris og størrelser

Namespace fakturerer i enhetsminutter, der én enhet er 1 vCPU og 2 GB RAM i ett minutt på Linux. Per september 2026 koster en Linux-runner med 2 vCPU og 4 GB $0.002 per minutt innenfor planens minutter og $0.003 per minutt ved overforbruk. Team-planen koster $100 per måned med 100 000 enhetsminutter, og Business koster $250 per måned med 250 000. Windows bruker minutter med dobbel Linux-sats og macOS med ti ganger Linux-satsen. Bruken har et minimum på ett minutt per jobb og avrundes deretter per minutt; Namespaces eksempel fakturerer 150 sekunder som 3 minutter.

CRACI fakturerer $0.002 per vCPU-minutt, så en runner med 2 vCPU og 6 GB RAM koster $0.004 per minutt, med ARM64 til samme sats, målt per sekund, uten månedsavgift. Namespaces listepris per minutt er lavere, med et minimum på ett minutt per jobb. Standardstørrelsene har 2 GB RAM per vCPU og CRACIs har 3 GB, så velg den størrelsen byggene dine trenger, før du sammenligner. Se CRACIs priser for gjeldende vilkår.

Hva som passer

Namespace passer bedre når

• Du trenger runnere for macOS eller Windows. CRACI er bare Linux i dag; Windows og macOS står på veikartet.
• Du vil prøve en egress-policy i advisory-modus før du håndhever den.
• Du er avhengig av Bazel remote execution eller cache-volumer.
• Du kjører også Buildkite-agenter eller utviklingsmiljøer i skyen og vil ha én leverandør.

CRACI passer bedre når

• Du må vise hva som gikk inn i en utgivelse, med en fullstendighetsstatus, fra selve bygget.
• Du vil ha overvåking av leverte SBOM-er på ett sted.
• Du trenger dokumentasjon for Cyber Resilience Act.
• Du trenger datalagring i EU, tilgjengelig på CRACIs Enterprise-plan.

For Cyber Resilience Act

Cyber Resilience Act ber produsenter kjenne komponentene i produktene sine, håndtere sårbarheter i dem og beholde dokumentasjon. Namespaces produkt er rask CI og utviklingsinfrastruktur. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess: SBOM-er fra bygget eksportert som CycloneDX eller SPDX, sårbarhetssporing og provenance gjennom API-et. Se CRA-dokumentasjon.

Slik bytter du fra Namespace til CRACI

Installer CRACI GitHub App i organisasjonen din, med tilgang til alle repositorier eller et utvalg, og endre deretter runner-etiketten på en jobb:

runs-on: craci

Flytt én jobb om gangen, sjekk SBOM-en og nettverkssporet, og les mer om CI/CD-integrasjon og SBOM-generering under bygget.