CRACI vs Azure Pipelines | Evidências vs parallel jobs

A resposta curta

O Azure Pipelines é a componente de CI/CD do Azure DevOps. Compila e testa em Linux, Windows e macOS, funciona com Azure Repos e GitHub, e implementa em máquinas virtuais, contentores, destinos on-premises e na cloud. Se a sua gestão de trabalho, os seus repositórios e as suas versões estão no Azure DevOps, ou se precisa de builds Windows e macOS com um único contrato da Microsoft, é uma boa opção.

O CRACI cobre uma parte mais restrita e vai mais fundo nela. É um runner para GitHub Actions: durante a execução de cada job, regista todas as dependências externas que o build descarrega, aplica uma política de egress à rede do build e produz SBOM, dados de proveniência e monitorização de vulnerabilidades a partir desse registo. No Azure Pipelines, essas evidências vêm das tasks e ferramentas que acrescenta a cada pipeline.

Há um ponto prático a referir primeiro. O CRACI suporta hoje apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. O Azure Pipelines não é suportado, pelo que um pipeline tem de passar para um workflow de GitHub Actions para correr no CRACI.

Visão geral

Funcionalidade	CRACI	Azure Pipelines
O que é	Um runner seguro para GitHub Actions.	A componente de CI/CD do Azure DevOps.
Como é produzida a SBOM	Registada a partir do que cada job obteve, com um estado de completude	Tasks ou ferramentas que acrescenta ao pipeline
Política de egress de rede do build	Negação ou permissão por defeito, validada antes do job, falha em modo fechado	Fica a seu cargo, em agentes self-hosted
Monitorização de vulnerabilidades	SBOM monitorizadas reavaliadas continuamente	Tasks ou ferramentas que acrescenta
Sistemas de CI	GitHub Actions hoje; GitLab CI e Jenkins no roadmap	Azure Pipelines, com Azure Repos e GitHub
Máquinas alojadas	Linux em x86-64 e ARM64, de 1 a 32 vCPU. Windows e macOS no roadmap.	Um tamanho por sistema operativo: Linux e Windows com 2 núcleos e 7 GB, macOS com 3 núcleos e 14 GB.
Corre nas suas próprias máquinas	Runners alojados pelo cliente, Enterprise	Agentes self-hosted e Azure DevOps Server
Implementações	O CRACI cobre o build	VM, contentores, destinos on-premises e na cloud
Como paga	$0.004 por minuto ($0.002 por vCPU-minuto), medido ao segundo. Sem mensalidade e sem custo por SBOM.	Por parallel job: um job alojado com 1.800 minutos gratuitos por mês e, depois, $40 por mês por job alojado com minutos ilimitados, ou $15 por job self-hosted (em outubro de 2026).

Incluído
Em parte
Não incluído
No roadmap

O que o Azure Pipelines faz bem

A página inicial de Azure Pipelines — azure.microsoft.com

Uma plataforma com o Azure DevOps. Os pipelines ficam ao lado da gestão de trabalho, do Azure Repos e do Azure Artifacts, pelo que work items, código, builds e pacotes estão num só lugar. O Azure Pipelines também compila código alojado no GitHub.

Todos os sistemas operativos. Os agentes alojados pela Microsoft executam Linux, Windows e macOS, e um parallel job executa qualquer um deles ao mesmo preço. Os agentes self-hosted estendem isso às suas próprias máquinas, e o Azure DevOps Server leva toda a plataforma para as suas instalações.

Minutos ilimitados por job. Um parallel job pago não tem limite mensal de minutos, e cada execução pode durar até 360 minutos. Uma equipa que mantém os seus jobs ocupados o dia todo paga um preço fixo, independentemente da duração dos builds.

Implementações integradas. Os pipelines levam os builds até à implementação em máquinas virtuais, contentores, servidores on-premises e destinos na cloud.

Onde o CRACI é diferente

A SBOM vem do build

No Azure Pipelines, uma SBOM resulta de uma task ou de um passo de scanner que acrescenta, que normalmente lê manifestos e lockfiles a posteriori. Os builds fazem muitas vezes mais do que esses ficheiros dizem: scripts de instalação descarregam código, scripts de build vão buscar recursos durante o build e as caches restauram pacotes que nenhum lockfile menciona. O CRACI vê esse tráfego porque é o runner. Um proxy que reconhece pacotes regista o que cada job obtém das fontes de pacotes, em fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, e as evidências de dependências acompanham as caches de CI. Cada SBOM CycloneDX ou SPDX indica o seu grau de completude, por job e por cache.

Uma política na rede do build

Nos agentes alojados pela Microsoft, aquilo que um build pode alcançar não é definido por si; nos agentes self-hosted, é infraestrutura de rede que tem de construir e manter. O CRACI aplica uma política de egress a cada job: negação ou permissão por defeito, com 24 predefinições integradas de fontes de software e fontes personalizadas tipadas, validada antes de o job arrancar. As políticas falham em modo fechado, e as violações enviam um alerta.

Monitorizar o que foi lançado

A API devolve SBOM, traços de rede e proveniência. O CRACI agrega vulnerabilidades de todos os builds e repositórios, continua a reavaliar as SBOM monitorizadas à medida que surgem avisos de segurança e mostra que builds anteriores continham uma dependência vulnerável, para que saiba durante que período esteve afetado.

Pagar ao minuto, não por parallel job

O Azure Pipelines vende capacidade de execução simultânea: cada build que quer em execução ao mesmo tempo precisa do seu próprio job alojado a $40 por mês, num único tamanho de 2 núcleos e 7 GB. Ocupado 8 horas em cada um de 22 dias úteis, um job sai a cerca de $0.0038 por minuto, um pouco abaixo dos $0.004 do CRACI com 2 vCPU. Ocupado metade desse tempo, fica em cerca de $0.0076. Os builds chegam em picos, pelo que os jobs comprados para a hora de ponta ficam parados o resto do dia.

O CRACI cobra apenas minutos de build: $0.002 por vCPU-minuto ($0.004 para um runner predefinido de 2 vCPU), medido ao segundo, sem mensalidade e sem custo por SBOM. Um job que precise de mais potência pode usar até 32 vCPU. Consulte preços de runners de CI para a comparação completa.

Qual escolher

Mantenha o Azure Pipelines se a sua gestão de trabalho, os seus repositórios e as suas versões estão no Azure DevOps, se precisa de builds Windows ou macOS, se implementa a partir dos mesmos pipelines ou se os seus jobs estão ocupados o dia todo.
Escolha o CRACI se o seu código está no GitHub ou a caminho dele, e quer que cada build produza um registo do que entrou na versão, com preço por minuto de build.
Use ambos durante uma migração gradual: a escolha é feita pipeline a pipeline, pelo que os builds Linux podem passar para GitHub Actions no CRACI enquanto os pipelines Windows, macOS e de implementação se mantêm.

Tenha bem presente o que perde ao escolher o CRACI. Não implementa software, executa hoje apenas jobs Linux, com Windows e macOS no roadmap, e os runners alojados pelo cliente estão no roadmap para o plano Enterprise.

Para produtos regulados

Enquadramentos como o Cyber Resilience Act da UE esperam que os fabricantes saibam o que está em cada versão e tratem as suas vulnerabilidades, com obrigações de reporte a partir de setembro de 2026. No Azure Pipelines, essas evidências vêm das tasks e dos scanners que ligar a cada pipeline. O CRACI produ-las a partir do registo do build e exporta SBOM em CycloneDX ou SPDX. Automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de software de que uma empresa precisa para o seu processo mais amplo de CRA; nenhuma das ferramentas torna, por si só, um produto conforme.

Passar um pipeline para o CRACI

O GitHub Actions Importer, do próprio GitHub, converte pipelines do Azure DevOps em workflows de GitHub Actions. O GitHub pretende que 80% de cada workflow seja convertido automaticamente e afirma que cada workflow convertido deve ser inspecionado antes de correr em produção, por isso conte com algum trabalho manual. Assim que um pipeline corre como workflow de GitHub Actions, corre no CRACI com uma linha:

runs-on: craci

As execuções continuam a aparecer na interface do GitHub. Saiba mais sobre a geração de SBOM durante o build, veja alternativas ao Azure Pipelines, compare plataformas de CI/CD ou consulte os preços.