CRACI vs. RunsOn

Det korte svaret

RunsOn er selvhostede GitHub Actions-runnere uten vedlikeholdet av en runnerflåte. Én CloudFormation-stack eller Terraform-modul ruller det ut i AWS-kontoen din; hver jobb får deretter en ny EC2-instans av den typen du velger, og AWS fakturerer beregningskraften til kostpris. Hvis du vil ha runnere inne i din egen skykonto og lavest mulig regning for beregningskraft, særlig på spot-instanser, er RunsOn vanskelig å slå.

CRACI er CI med innebygd sikkerhet for leverandørkjeden. Det er en administrert, GitHub Actions-kompatibel runner, og sikkerheten er en del av runneren i stedet for et verktøy lagt til den: CRACI registrerer hver ekstern avhengighet bygget hentet, håndhever en egress-policy på byggets nettverk og gjør den registreringen om til SBOM-er, sårbarhetsovervåking og dokumentasjon. Begge produktene erstatter runneren jobbene dine kjører på, så du velger ett av dem.

Oversikt

Hva RunsOn gjør bra

Din konto, dine data. Kontrollplanet, runner-VM-ene, S3-cachen og loggene ligger alle i AWS-kontoen din, og RunsOns egne dataflyter er begrenset til lisensvalidering, telemetri og support. For team der sikkerhetsgjennomgangen stopper ved "en tredjepart kjører koden og hemmelighetene våre", er det svaret RunsOn er bygget for å gi. CRACI-runnere er administrerte i dag; kundehostede runnere står på veikartet for Enterprise.

Enhver instans, én per jobb. Etiketten runs-on velger maskinen, så en jobb kan be om en stor beregningsoptimalisert instans, en GPU, lokal NVMe-lagring eller Windows. Hver jobb får en ny EC2-instans som slettes når den er ferdig, og RunsOn sier at jobber vanligvis starter på omtrent 30 sekunder, eller under 6 med varme pools.

Kostnad. RunsOn legger ikke noe påslag på beregningskraft i AWS og tar betalt for en fast lisens, fra omtrent $348 (€300) per år. Selskapet sier at resultatet er 7 til 12 ganger billigere enn GitHub-hostede runnere. Spot-instanser med automatisk fallback til on-demand holder regningen enda lavere. Dette er RunsOns tall; instansmiksen og regionen din avgjør det reelle tallet.

Caching og observerbarhet. En S3-basert cache i VPC-en din erstatter GitHubs cache uten størrelsestaket, caching av Docker-lag er innebygd, og EBS sticky disks og delte EFS-volumer bevarer tilstand mellom jobber. Metrikker og kostnadsrapportering per jobb går til CloudWatch og OpenTelemetry.

Sikkerhetstillegg. En integrasjon med StepSecurity Harden-Runner legger til overvåking og filtrering av utgående trafikk og oppdagelse av manipulering av kildekode under bygget, med en enterprise-lisens fra StepSecurity.

Pris og størrelser

Når det gjelder beregningskraft alene, koster RunsOn på spot-instanser en brøkdel av CRACIs $0.004 per minutt med 2 vCPU. Sammenligningen handler likevel ikke bare om pris per minutt. Med RunsOn betaler du også lisensen og AWS-tjenestene rundt runnerne, for eksempel NAT-gatewayer for statiske IP-er, og teamet ditt eier stacken: oppgraderinger, AWS-kvoter og hendelser. CRACI er én pris per minutt, målt per sekund, uten månedsavgift, og CRACI drifter infrastrukturen. Se priser for CRACI for gjeldende vilkår og administrerte vs. selvhostede runnere for den bredere avveiningen.

Når det gjelder fart, kjører CRACI bygg omtrent dobbelt så raskt som GitHub-hostede runnere, takket være raskere maskinvare, kortere køtider og caching. Farten til RunsOn avhenger av instanstypen du velger. Vi har ikke benchmarket de to mot hverandre.

Der CRACI skiller seg ut

En registrering av hva bygget hentet

Mens hver jobb kjører, registrerer en pakkebevisst proxy trafikk til pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så pakker gjenopprettet fra en cache likevel telles med. Det omfatter de skjulte avhengighetene som ingen lockfile lister opp, for eksempel kode lastet ned av install hooks eller byggeskript, og lag fra base-images. Hver jobb produserer en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus per jobb og per cache.

Kontroll over hva bygget kan nå

Sikkerhetsgrupper avgjør hvilke nettverk en RunsOn-runner kan nå; de vet ikke hvilket pakkeregister en jobb skal bruke. Det gjør egress-policyen i CRACI: default deny eller default allow, 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git over HTTPS og SSH, og eksplisitte TLS-, TCP-, UDP- og ICMP-regler. Policyer valideres før jobben starter, blokkerer ved feil (fail closed) og sender et varsel ved et brudd. Fordi policyen bare tillater det bygget trenger, blokkerer den eksfiltrering til verter bygget ikke trenger, selv ved et angrep ingen har sett før.

Harden-Runner på RunsOn går lenger på ett punkt: Det følger også med på om kildefiler endres under bygget, noe CRACI ikke gjør.

Provenance og overvåking

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå. Det samler sårbarheter på tvers av bygg og repositorier og fortsetter å vurdere overvåkede SBOM-er på nytt.

To ulike sikkerhetsspørsmål

RunsOn svarer på "hvem har koden, hemmelighetene og runner-tilstanden min?" ved å holde alt i AWS-kontoen din. CRACI svarer på et annet spørsmål: "hva hentet dette bygget inn, og hvor koblet det seg til?" CRACI kjører hver jobb i sin egen isolerte VM, lagrer ikke kildekoden din og er ISO 27001-sertifisert. Det andre svaret er det en revisor, en kunde eller Cyber Resilience Act ber deg om.

Book en demo for å se SBOM-en, nettverkssporet og provenance fra en av dine egne workflows.

Hvilken som passer

RunsOn passer bedre når

• Runnere må kjøre inne i din egen AWS-konto, ved siden av VPC-ressursene dine.
• Laveste kostnad for beregningskraft betyr mest, og du er komfortabel med å drifte en stack i AWS.
• Du trenger Windows-runnere, GPU-instanser eller bestemte EC2-instanstyper i dag.
• Prosjektene dine er ikke-kommersielle, noe RunsOn dekker gratis.

CRACI passer bedre når

• Du leverer programvare der du må vise hva som gikk inn i hver utgivelse, fra selve bygget.
• Du vil begrense hva bygg kan nå, med en policy som blokkerer ved feil (fail closed) og ikke krever noen ekstra lisens.
• Du trenger overvåking av det som ble levert, uten å legge til verktøy i hver workflow.
• Du vil helst ikke drifte CI-infrastruktur og vil ha bygg på europeisk infrastruktur.

Hva du gir avkall på med CRACI. Runnere i din egen AWS-konto, som står på veikartet for Enterprise, Windows-runnere, som også står på veikartet, og den laveste regningen for beregningskraft. Det du får, er en byggregistrering som sikkerhet og compliance kan bruke uten enda en skanner i pipelinen, på infrastruktur du ikke trenger å drifte.

For Cyber Resilience Act

EUs Cyber Resilience Act forventer at produsenter vet hva som er i hver utgivelse, og håndterer sårbarhetene i den, med rapporteringsplikter fra september 2026 og full anvendelse fra desember 2027. En selvhostet runner produserer ikke den dokumentasjonen av seg selv; du må legge til SBOM- og skanneverktøy i workflowene dine. CRACI produserer den fra byggregistreringen og eksporterer SBOM-er som CycloneDX eller SPDX. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess.

Bytte fra RunsOn

CRACI erstatter runneren, ikke GitHub Actions. Workflows og GitHub-grensesnittet forblir de samme, og jobbetiketten blir runs-on: craci. Jobbene får Docker Engine, Buildx og Compose v2, et GitHub-kompatibelt Ubuntu 24.04-image og nested virtualization på x86-64. Les mer om CI/CD-integrasjon og SBOM-generering under bygget. Oppstartsbedrifter kan søke om plass i oppstartsprogrammet.

RunsOn vs. CRACI: ofte stilte spørsmål

Priser, hosting, plattformer og sikkerhet, besvart ut fra hver leverandørs publiserte informasjon

Hva er RunsOn?

RunsOn er selvhostede GitHub Actions-runnere gjort til et produkt. Du ruller ut én CloudFormation-stack eller Terraform-modul i din egen AWS-konto, og RunsOn starter en ny EC2-instans for hver jobb og avslutter den når jobben er ferdig. Runnere, cacher, logger og påloggingsinformasjon blir værende i AWS-kontoen din. Selskapet ble grunnlagt i 2023 av Cyril Rohr, som holder til i Rennes i Frankrike.

Hva koster RunsOn?

Per september 2026 tar RunsOn betalt for en fast årslisens per juridisk enhet: fra omtrent $348 (€300) per år på Starter, omtrent $1,044 (€900) på Growth, omtrent $2,088 (€1,800) på Scale og omtrent $4,176 (€3,600) på Enterprise, avhengig av hvor mange runnere du starter per måned. AWS fakturerer beregningskraften direkte, per sekund, uten påslag fra RunsOn. RunsOn oppgir en spot-instans med 2 vCPU x64 i us-east-1 til omtrent $0.0009 per minutt. Det er gratis for ikke-kommersiell bruk og har 15 dagers prøveperiode.

Er RunsOn billigere enn CRACI?

For beregningskraft, ja, og med god margin på spot-instanser. CRACI tar $0.004 per minutt med 2 vCPU, mens en spot-instans med 2 vCPU gjennom RunsOn koster omtrent $0.0009 per minutt i us-east-1, pluss lisensen. Totalen omfatter også AWS-nettverk og -lagring og tiden det tar å drifte stacken. Det CRACI legger til på runneren, er byggregistreringen: en SBOM for hver jobb, en egress-policy, provenance-data og sårbarhetsovervåking.

Genererer RunsOn SBOM-er eller provenance for bygg?

Ikke blant de dokumenterte funksjonene. RunsOn fokuserer på beregningskraft, caching, kostnad og observerbarhet i AWS-kontoen din. CRACI registrerer pakkene hver jobb henter, også pakker gjenopprettet fra cacher, og produserer en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus. API-et returnerer SBOM-er, nettverksspor og provenance.

Kan RunsOn begrense hva et bygg kan nå på nettverket?

RunsOn-runnere står i VPC-en din, så sikkerhetsgrupper og ruting i AWS gjelder, og statiske utgående IP-er kommer fra NAT-gatewayer. For egress-filtrering inne i jobben integrerer RunsOn StepSecurity Harden-Runner, som bygger en baseline av hver jobbs utgående trafikk og kan håndheve den som en tillatelsesliste; på RunsOn krever det en enterprise-lisens fra StepSecurity. CRACI håndhever en egress-policy på selve runneren: default deny eller allow, 24 innebygde forhåndsinnstillinger for programvarekilder, validert før jobben starter, og som blokkerer ved feil (fail closed).

Kan jeg kjøre CRACI i min egen AWS-konto?

Ikke i dag. CRACI-runnere er administrerte, på europeisk infrastruktur, og kundehostede runnere står på veikartet for Enterprise-planen. Hvis runnere inne i din egen AWS-konto er et absolutt krav, er RunsOn bygget for akkurat det.

Støtter CRACI Windows- eller macOS-runnere?

CRACI kjører Linux på x86-64 og ARM64 i dag, med Windows og macOS på veikartet. RunsOn tilbyr Windows Server 2022 og 2025 og GPU-instanser; macOS-jobber blir også med RunsOn værende på GitHub-hostede runnere.

Må jeg skrive om GitHub Actions-workflowene mine for å bytte?

Nei. Begge produktene erstatter runneren, ikke GitHub Actions. Workflows, triggere og GitHub-grensesnittet forblir de samme; på CRACI blir jobbetiketten runs-on: craci.