CRACI vs Namespace

Krótka odpowiedź

Namespace to infrastruktura dla programistów: zarządzane runnery GitHub Actions, zdalne buildery Docker, wolumeny cache, zdalne wykonywanie Bazel i chmurowe środowiska deweloperskie, wszystko na sprzęcie obsługiwanym przez samo Namespace. CRACI to runner zgodny z GitHub Actions, zbudowany wokół bezpieczeństwa łańcucha dostaw. Każde zadanie tworzy SBOM tego, co faktycznie pobrało, i działa pod polityką ruchu wychodzącego.

Oba produkty mogą ograniczać, do czego build dociera w sieci, a polityki ruchu wychodzącego Namespace są dobrze zaprojektowane. Różnica polega na tym, co jeszcze dzieje się na runnerze: Namespace koncentruje się na szybkości, platformach i cache, a CRACI rejestruje build i przenosi ten zapis do monitorowania podatności i dowodów dla CRA. Oba zastępują runner hostowany przez GitHub, więc wybierają Państwo jeden z nich.

W skrócie

Co Namespace robi dobrze

• Platformy. Linux na AMD64 (AMD EPYC) i ARM64 (AmpereOne oraz Apple Silicon we wczesnym dostępie), Windows na AMD EPYC i macOS na Apple M5 Max lub M4 Pro. Runnery Windows są dostępne od planu Team wzwyż.
• Profile runnerów. W panelu tworzą Państwo profil z systemem operacyjnym i konfiguracją maszyny, a następnie odwołują się do niego w runs-on. Konfiguracje sięgają 64 vCPU na Linuksie, a Namespace podaje, że wsparcie może odblokować do 512 GB RAM.
• Cache. Wolumeny cache przechowują dane w lokalnej pamięci masowej między uruchomieniami, więc zadania nie muszą za każdym razem wysyłać i pobierać archiwum cache. Namespace oferuje też cache buildów Docker, zdalny cache i wykonywanie Bazel oraz cache Turborepo i Gradle.
• Polityki ruchu wychodzącego. Polityki działają w trybie BLOCK, który odmawia wszystkiego, na co nie zezwolono, lub ADVISORY, który rejestruje te same decyzje bez blokowania, dzięki czemu można zbudować listę dozwolonych z rzeczywistego ruchu. Reguły dopasowują domeny, zarządzany zestaw reguł github-actions utrzymuje działanie runnerów, a z głęboką inspekcją pakietów polityka może wstrzykiwać sekrety do nagłówków żądań lub kierować ruch przez proxy. Panel grupuje dozwolone i odrzucone żądania według domen, a każda instancja ma własny widok ruchu wychodzącego.
• Zaufanie. Namespace ma SOC 2 Type II, z raportem dostępnym w Trust Center, i oferuje rezydencję danych w wyłącznym regionie w planach korporacyjnych.

Namespace publikuje wyniki klientów, takie jak DuckDB uruchamiający swoje CI "10x faster". To dane Namespace dotyczące tych klientów.

Czym różni się CRACI

CRACI traktuje build jako źródło prawdy o tym, co Państwo dostarczają.

Zapis tego, co pobrał build

Podczas działania każdego zadania proxy rozpoznające pakiety rejestruje ruch do źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presetów pobierania. Dowody zależności przemieszczają się razem z cache CI, więc pakiet przywrócony z cache nadal jest liczony. SBOM każdego zadania, w formacie CycloneDX lub SPDX, ma stan kompletności dla każdego zadania i każdego cache. Logi ruchu wychodzącego Namespace mówią, z którymi domenami kontaktował się runner. Zapis CRACI mówi, które pakiety i wersje build z nich pobrał.

Polityka ruchu wychodzącego, uczciwe porównanie

Polityki CRACI działają w trybie domyślnej odmowy lub domyślnego zezwolenia, z 24 wbudowanymi presetami źródeł oprogramowania, typowanymi źródłami niestandardowymi dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git przez HTTPS i SSH oraz jawnymi regułami TLS, TCP, UDP i ICMP. Polityki są walidowane przed startem zadania, w razie błędu blokują ruch, odrzucają nieznane pola i wysyłają alert o naruszeniu.

Namespace ma przewagę w dwóch miejscach. Jego tryb doradczy pozwala obserwować politykę przed jej egzekwowaniem, a tryb monitorowania CRACI jest wciąż w planach rozwoju. Jego wstrzykiwanie sekretów i reguły proxy nie mają odpowiednika w CRACI. CRACI różni się tym, że jego źródła są typowane według ekosystemu pakietów i protokołu, a nie wymieniane jako domeny, a to samo zadanie, które działa pod polityką, tworzy też zapis pobranych pakietów.

Pochodzenie i monitorowanie

• Dane o pochodzeniu. API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu i nie deklaruje żadnego poziomu SLSA.
• Monitorowanie tego, co dostarczono. Monitorowane SBOM-y są stale ponownie oceniane pod kątem nowych podatności, a znaleziska agregowane z wielu buildów i repozytoriów.

Cena i rozmiary

Namespace rozlicza w minutach jednostkowych, gdzie jedna jednostka to 1 vCPU i 2 GB RAM przez jedną minutę na Linuksie. Według stanu na wrzesień 2026 runner Linux z 2 vCPU i 4 GB kosztuje $0.002 za minutę w ramach minut z planu i $0.003 za minutę ponad limit. Plan Team kosztuje $100 miesięcznie i obejmuje 100 000 minut jednostkowych, a Business $250 miesięcznie z 250 000. Windows zużywa minuty po dwukrotnej stawce Linuksa, a macOS po dziesięciokrotnej. Minimalne użycie to jedna minuta na zadanie, a potem czas jest zaokrąglany do minuty; w przykładzie Namespace 150 sekund jest rozliczane jako 3 minuty.

CRACI rozlicza $0.002 za minutę vCPU, więc runner 2 vCPU z 6 GB RAM kosztuje $0.004 za minutę, ARM64 po tej samej stawce, naliczane co sekundę, bez opłaty miesięcznej. Cena katalogowa Namespace za minutę jest niższa, przy minimum jednej minucie na zadanie. Jego standardowe konfiguracje mają 2 GB RAM na vCPU, a CRACI 3 GB, więc przed porównaniem warto dobrać konfigurację potrzebną Państwa buildom. Aktualne warunki podaje strona cennika CRACI.

Co wybrać

Namespace sprawdzi się lepiej, gdy

• Potrzebują Państwo runnerów macOS lub Windows. CRACI to dziś tylko Linux; Windows i macOS są w planach rozwoju.
• Chcą Państwo przetestować politykę ruchu wychodzącego w trybie doradczym przed jej egzekwowaniem.
• Zależą Państwo od zdalnego wykonywania Bazel lub wolumenów cache.
• Używają Państwo także agentów Buildkite lub chmurowych środowisk deweloperskich i chcą jednego dostawcy.

CRACI sprawdzi się lepiej, gdy

• Muszą Państwo pokazać, co trafiło do wydania, ze stanem kompletności, z samego buildu.
• Chcą Państwo monitorowania dostarczonych SBOM-ów w jednym miejscu.
• Potrzebują Państwo dowodów dla Cyber Resilience Act.
• Potrzebują Państwo rezydencji danych w UE, dostępnej w planie Enterprise CRACI.

Na potrzeby Cyber Resilience Act

Cyber Resilience Act wymaga od producentów znajomości komponentów ich produktów, obsługi ich podatności i przechowywania dowodów. Produktem Namespace jest szybkie CI i infrastruktura deweloperska. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA: SBOM-y z czasu buildu eksportowane w formacie CycloneDX lub SPDX, śledzenie podatności i dane o pochodzeniu przez API. Zob. dowody dla CRA.

Przejście z Namespace na CRACI

Wystarczy zainstalować aplikację CRACI GitHub App w organizacji, z dostępem do wszystkich repozytoriów lub wybranego zestawu, a następnie zmienić etykietę runnera w zadaniu:

runs-on: craci

Warto przenosić po jednym zadaniu, sprawdzać jego SBOM i ślad sieciowy oraz przeczytać więcej o integracji CI/CD i generowaniu SBOM w czasie buildu.