CRACI vs Depot

Krótka odpowiedź

Depot to przyspieszanie buildów: runnery GitHub Actions, zdalna usługa buildów Docker z trwałym cache warstw, zdalny cache dla narzędzi takich jak Bazel i Gradle oraz własny silnik CI. CRACI to runner zgodny z GitHub Actions, zbudowany wokół bezpieczeństwa łańcucha dostaw. Każde zadanie tworzy SBOM tego, co faktycznie pobrało, i działa w ramach określonej przez Państwa polityki ruchu wychodzącego.

Różnica w jednym zdaniu: Depot optymalizuje szybkość działania buildu, a CRACI rejestruje i kontroluje to, co do niego trafia. Oba zastępują runner hostowany przez GitHub, więc wybiera się jeden z nich.

W skrócie

Co Depot robi dobrze

Depot zbudował szeroką, dobrze udokumentowaną platformę runnerów i buildów. Najważniejsze punkty z jego własnej dokumentacji:

• Szeroki katalog runnerów. Runnery Linux na AMD EPYC (etykiety Intel) i AWS Graviton4 (Arm) od 2 vCPU i 8 GB RAM do 64 vCPU i 256 GB, a także Windows Server 2022 i 2025 oraz runnery macOS w planach Startup i Business.
• Cache. Runnery są podłączone do rozproszonego cache Depot, który według Depot osiąga prędkość wysyłania i pobierania do 1000 MiB/s. Depot opisuje swoje runnery jako do 3 razy szybsze niż runner hostowany przez GitHub, z 10 razy szybszym cache.
• Buildy Docker. depot build to bezpośredni zamiennik docker build, który działa na zdalnym hoście BuildKit z trwałym cache warstw NVMe współdzielonym w zespole i buduje obrazy x86 i Arm natywnie, bez emulacji QEMU. Depot podaje, że jest to do 40 razy szybsze niż budowanie lokalnie lub u dostawcy CI.
• Izolacja. Każde zadanie GitHub Actions działa na świeżej instancji EC2 przeznaczonej dla jednego klienta, która nigdy nie jest używana ponownie.
• Filtrowanie ruchu wychodzącego. Reguły zezwalania i odmowy dla adresów IP, CIDR i nazw hostów, z regułą domyślną ustawianą na zezwolenie lub odmowę. Obecnie dotyczy runnerów Linux.
• Opcje Enterprise. W planie Business Depot Managed wdraża płaszczyznę danych na Państwa własnym koncie AWS, z AWS PrivateLink, stałymi wychodzącymi adresami IP i SSO. Depot wymienia raport SOC 2 Type II.

Jeśli głównym wąskim gardłem w Państwa CI jest czas budowania obrazów Docker, Depot powstał właśnie z myślą o tym problemie.

Czym różni się CRACI

CRACI traktuje build jako źródło prawdy o tym, co Państwo dostarczają. Runner to miejsce, w którym zbierane są te dowody.

Zapis tego, co pobrał build

W trakcie każdego zadania proxy rozpoznające pakiety rejestruje ruch do źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presety pobierania. Dowody zależności przemieszczają się razem z cache CI, więc pakiet przywrócony z cache nadal jest uwzględniany. SBOM każdego zadania, w formacie CycloneDX lub SPDX, zawiera stan kompletności dla każdego zadania i każdego cache, dzięki czemu wiedzą Państwo, kiedy zapis jest kompletny, a kiedy nie.

Depot także potrafi utworzyć SBOM: po dodaniu --sbom=true do depot build generuje SBOM SPDX za pomocą Syft. To skan obrazu wytworzonego przez build. Zapis CRACI obejmuje całe zadanie, łącznie z narzędziami buildu i pakietami, które nigdy nie trafiają do obrazu, oraz z zadaniami, które w ogóle nie budują obrazów.

Polityka ruchu wychodzącego stworzona dla źródeł oprogramowania

Oba produkty pozwalają blokować nieoczekiwany ruch wychodzący z runnera. Polityki CRACI działają w trybie domyślnej odmowy lub domyślnego zezwolenia, z 24 wbudowanymi presetami źródeł oprogramowania, typowanymi źródłami niestandardowymi dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git przez HTTPS i SSH oraz jawnymi regułami TLS, TCP, UDP i ICMP. Polityki są weryfikowane przed startem zadania, w razie błędu blokują ruch i wysyłają alert przy naruszeniu. Reguły Depot działają na poziomie adresów IP, CIDR i nazw hostów, co jest prostsze, jeśli tylko tego Państwo potrzebują.

Pochodzenie i monitorowanie

• Dane o pochodzeniu. API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu. Buildy obrazów Depot mogą dołączać poświadczenia pochodzenia BuildKit, ustawiane flagą --provenance.
• Monitorowanie tego, co dostarczono. Monitorowane SBOM-y są stale ponownie oceniane pod kątem nowych podatności, a znaleziska są agregowane z wielu buildów i repozytoriów.

Cena i rozmiary

Według stanu na wrzesień 2026 Depot pobiera $0.006 za minutę za swój runner Linux z 2 vCPU i 8 GB ponad minuty wliczone w plan, a większe rozmiary skalują się liniowo: 32 vCPU kosztuje $0.096 za minutę. Plan Developer kosztuje $20 miesięcznie z 2000 minut GitHub Actions, a plan Startup $200 miesięcznie z 20 000. Depot rozlicza użycie co sekundę, bez minimum jednej minuty na uruchomienie, i oferuje 7-dniowy bezpłatny okres próbny.

CRACI nalicza $0.002 za minutę vCPU, więc 2 vCPU kosztuje $0.004 za minutę, a 32 vCPU $0.064 za minutę, przy czym ARM64 ma tę samą stawkę. Naliczanie odbywa się co sekundę i nie ma opłaty miesięcznej. Po przekroczeniu minut z planu Depot to około 33% mniej za minutę przy każdym rozmiarze. Przed porównaniem należy dopasować pamięć: jednostka obliczeniowa CRACI ma 3 GB RAM na vCPU, a runnery Depot 4 GB na vCPU. Aktualne warunki podaje strona cennika CRACI.

Co wybrać

Depot sprawdzi się lepiej, gdy

• Buildy obrazów Docker zajmują większość czasu Państwa CI.
• Potrzebują Państwo runnerów Windows lub macOS. CRACI obsługuje dziś tylko Linux; Windows i macOS są w planach rozwoju.
• Potrzebują Państwo runnerów na własnym koncie AWS. CRACI nie oferuje jeszcze runnerów hostowanych przez klienta; są one w planach rozwoju dla Enterprise.
• Polegają Państwo na zdalnym cache dla Bazel, Gradle, Turborepo lub sccache.

CRACI sprawdzi się lepiej, gdy

• Muszą Państwo wykazać, co trafiło do wydania, na podstawie samego buildu, ze stanem kompletności.
• Chcą Państwo kontrolować ruch wychodzący buildu według źródła pakietów, z weryfikacją przed każdym zadaniem.
• Chcą Państwo monitorować dostarczone SBOM-y w jednym miejscu.
• Potrzebują Państwo rezydencji danych w UE, dostępnej w planie Enterprise CRACI.

Na potrzeby Cyber Resilience Act

Cyber Resilience Act oczekuje, że producenci będą znać komponenty swoich produktów, obsługiwać ich podatności i przechowywać dowody. Produktem Depot jest infrastruktura buildów, a jego dokumentacja koncentruje się na szybkości, cache i izolacji. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów, których firmy potrzebują w szerszym procesie zgodności z CRA: SBOM-y z czasu buildu, śledzenie podatności, dane o pochodzeniu oraz eksport SBOM w formacie CycloneDX lub SPDX.

Przejście z Depot na CRACI

Proszę zainstalować aplikację CRACI GitHub App w swojej organizacji, z dostępem do wszystkich repozytoriów lub ich wybranego zestawu, a następnie zmienić etykietę runnera w zadaniu:

runs-on: craci

Workflow i interfejs GitHub pozostają bez zmian. Zadania można przenosić pojedynczo, zaczynając od zadania, które buduje coś, co Państwo dostarczają. Proszę sprawdzić jego SBOM i ślad sieciowy, a potem napisać politykę ruchu wychodzącego zezwalającą na potrzebne źródła. Więcej o integracji CI/CD i generowaniu SBOM w czasie buildu.