Do czego CRACI ma dostęp i co przechowuje

Dlaczego to pytanie zasługuje na prostą odpowiedź

Runner CI widzi więcej niż większość narzędzi w Państwa stosie. Pobiera kod źródłowy, instaluje zależności i przechowuje sekrety, których workflow używają do publikowania pakietów i wdrożeń. Gdy w marcu 2025 przejęto akcję GitHub tj-actions/changed-files, CISA poinformowała, że złośliwy kod ujawnił sekrety, w tym klucze dostępu, osobiste tokeny dostępu GitHub, tokeny npm i prywatne klucze RSA. To na runnerze znajdują się te sekrety podczas działania zadania.

Zanim więc skierują Państwo workflow na CRACI, powinni Państwo dokładnie wiedzieć, do czego ma on dostęp. Odpowiedzi znajdują się poniżej, a szczegóły w CRACI Trust Center i na docs.craci.com.

Do czego służy GitHub App

CRACI zastępuje runner, a nie GitHub Actions. Zachowują Państwo swoje workflow, zmieniają runs-on na craci w wybranych zadaniach, a uruchomienia nadal są widoczne w interfejsie GitHub. Aby to działało, Państwa organizacja instaluje CRACI GitHub App.

Podczas instalacji przyznają Państwo aplikacji dostęp do wszystkich repozytoriów lub do wybranego zestawu. Workflow na CRACI mogą uruchamiać tylko repozytoria, do których przyznano dostęp.

Dokładne uprawnienia, o które prosi aplikacja, są wymienione na ekranie instalacji w GitHub i można je później sprawdzić w ustawieniach organizacji. W skrócie: aplikacja może czytać Państwa kod i uruchomienia Actions oraz zarządza runnerami, które rejestruje dla Państwa organizacji.

Gdzie działa Państwa kod

Zadania są wykonywane w izolowanych maszynach wirtualnych. Buildy działają na europejskiej infrastrukturze bare-metal. Państwa kod źródłowy jest przetwarzany wewnątrz maszyny wirtualnej zadania przez czas trwania buildu.

Każde zadanie działa na jednym z trzech obrazów: CRACI Slim, CRACI Slim ARM64 lub obrazie Ubuntu 24.04 zgodnym z GitHub. Runnery działają obecnie tylko na Linuksie; Windows i macOS są w planach rozwoju.

Sposób izolowania zadań i to, co dzieje się z maszyną wirtualną zadania po jego zakończeniu, opisano na docs.craci.com oraz w Trust Center.

Co CRACI przechowuje i jak długo

CRACI przetwarza Państwa kod źródłowy w maszynie wirtualnej zadania podczas buildu i go nie przechowuje. Zachowuje natomiast dowody, które rejestruje o każdym buildzie, oraz cache zapisywane przez Państwa workflow:

• Metadane buildów
• Dane o pakietach, czyli zależności pobrane przez każde zadanie
• Ślady sieciowe z zadania
• SBOM-y
• Zapisy pochodzenia
• Cache
• Zapisy audytowe

Cache zawiera to, co umieści w nim Państwa workflow, dlatego jego zawartość należy traktować tak jak każdy inny wynik buildu.

Domyślny okres przechowywania wynosi 180 dni. W planach Enterprise można ustawić niestandardowy okres przechowywania. Usuwanie i szyfrowanie danych opisano w Trust Center.

Hosting i rezydencja danych

CRACI jest hostowane w Europie i oferuje rezydencję danych w UE, a buildy działają na europejskiej infrastrukturze bare-metal. Platforma działa u Hetzner, niemieckiego dostawcy, w centrum danych w Tuusula w Finlandii. Jakie dane obsługuje CRACI, wyjaśnia strona rezydencja danych.

Kontrole samego buildu

Runner, który widzi Państwa sekrety, powinien też pozwalać ograniczyć, dokąd mogą trafić. Polityki ruchu wychodzącego CRACI ustawiają dla każdego zadania domyślną odmowę lub domyślne zezwolenie, z 24 wbudowanymi presetami dla popularnych źródeł oprogramowania i typowanymi źródłami niestandardowymi dla rejestrów takich jak npm, PyPI, Cargo, Go proxy i OCI. Można też pisać jawne reguły TLS, TCP, UDP i ICMP. Polityki są walidowane przed startem zadania, w razie awarii blokują ruch (fail closed) i odrzucają nieznane pola. Alerty sygnalizują naruszenia polityk.

Zadania wychodzą ze stabilnego zakresu adresów IP, dzięki czemu mogą Państwo przepuścić runnery CRACI przez własne zapory według adresu.

Dostęp wewnątrz Państwa organizacji

• Plany Enterprise obsługują logowanie jednokrotne SAML z Google Workspace jako dostawcą tożsamości.
• Dziennik audytu administratora rejestruje działania administracyjne. Jest dostępny w interfejsie i nie można go jeszcze eksportować.
• Tokeny API są tworzone przez administratorów, można je w każdej chwili unieważnić i wygasają po 90 dniach.

Jak utrzymać wąski zakres dostępu

Aby ocenić CRACI, nie trzeba udostępniać mu całej organizacji.

1. Zainstalować na wybranych repozytoriach. Podczas instalacji aplikacji należy wybrać „Only select repositories” i wskazać jedno lub dwa. Zestaw można później rozszerzyć lub zawęzić w ustawieniach organizacji, w Settings, GitHub Apps, CRACI, Configure. Zmiana działa natychmiast.
2. Przenosić po jednym zadaniu. Na CRACI działają tylko zadania z runs-on: craci. Wszystko inne pozostaje na dotychczasowym runnerze.
3. Zacząć od zadania z niewielką liczbą sekretów. Zadanie testów lub lintowania pokaże SBOM i dowody sieciowe bez umieszczania poświadczeń do publikacji lub wdrożeń na nowym runnerze.
4. Włączyć politykę ruchu wychodzącego z domyślną odmową. Zezwolić tylko na źródła pakietów potrzebne zadaniu i nic więcej.
5. Wiedzieć, jak odejść. W GitHub można zawiesić aplikację, co blokuje jej dostęp, ale pozostawia ją zainstalowaną, lub ją odinstalować, co usuwa jej dostęp do organizacji.

Nasze podejście do bezpieczeństwa

Nasza strona o bezpieczeństwie wyjaśnia to podejście: udokumentowane, a nie deklarowane. Trust Center zbiera polityki, kontrole i dokumentację dotyczące platformy i to tam można poprosić o materiały do oceny dostawcy.

Ta strona nie zawiera żadnych deklaracji o certyfikacji. Aktualny status naszego programu bezpieczeństwa i wszelkich audytów znajdą Państwo w Trust Center.