Runners do CRACI vs runners alojados no GitHub

Os mesmos workflows, um runner mais rápido

Se utiliza o GitHub Actions, os seus jobs são executados em runners alojados no GitHub, a menos que tenha configurado os seus próprios. São práticos: cada job recebe uma máquina virtual nova, não há nada para operar, e Linux, Windows e macOS estão todos disponíveis.

O CRACI é um runner compatível com GitHub Actions. Instale a GitHub App do CRACI na sua organização, em todos os repositórios ou num conjunto selecionado, e altere uma linha no seu workflow:

runs-on: craci

Os seus ficheiros de workflow, as actions e a interface do GitHub ficam iguais. O CRACI substitui o runner, não o GitHub Actions, e dá-lhe três coisas que um runner generalista não dá: builds mais rápidos, uma fatura mais baixa e segurança da cadeia de abastecimento integrada na máquina que executa o job.

Velocidade

Os builds no CRACI terminam em cerca de metade do tempo que demoram nos runners alojados standard do GitHub. Três fatores somam-se: hardware mais rápido, tempos de fila mais curtos antes de um job arrancar e cache.

O ganho de velocidade dos seus builds depende da carga de trabalho. As compilações e os conjuntos de testes limitados pela CPU são os que mais ganham; os jobs que passam a maior parte do tempo à espera da rede ou de serviços externos ganham menos. O que ajuda:

• Tamanhos de runner de 1 a 32 unidades de computação, para que os jobs pesados possam pedir mais.
• x86-64 e ARM64 nativos, para que os builds ARM não precisem de emulação.
• Suporte para a cache do GitHub Actions, além de Docker Engine, Buildx e Compose v2 em todos os jobs.
• Virtualização aninhada em x86-64, para jobs que arrancam as suas próprias máquinas virtuais.

O melhor teste é o seu próprio pipeline: migre um job e compare os tempos lado a lado no GitHub.

Custo

Dois fatores baixam a fatura ao mesmo tempo. Cada minuto é mais barato, e um build mais rápido usa menos minutos.

O CRACI fatura $0.002 por vCPU-minuto, medido ao segundo, pelo que um runner Linux standard de 2 vCPU custa $0.004 por minuto. O GitHub indica para o seu runner Linux x64 standard de 2 núcleos $0.006 por minuto, pelo que o minuto do CRACI custa cerca de 33% menos.

Um build de 10 minutos

Considere um build que demora 10 minutos num runner de 2 núcleos alojado no GitHub:

A diferença de preço por si só poupa cerca de 33%. É o build mais curto que leva a poupança a cerca de 67%. Se um build não for mais rápido na sua carga de trabalho, continua a pagar o preço por minuto mais baixo.

O que mais altera a fatura

• Arredondamento. O GitHub arredonda cada job para um minuto inteiro; o CRACI mede ao segundo. Um job que demora 10 minutos e 20 segundos é faturado como 11 minutos no GitHub, e os pipelines com muitos jobs curtos (lint, fragmentos de testes, verificações) pagam muitos segundos não utilizados.
• Minutos incluídos. O GitHub inclui de 2.000 a 50.000 minutos por mês consoante o plano, e os runners standard são gratuitos em repositórios públicos. O CRACI não tem nível gratuito nem minutos incluídos: paga por minuto de build desde o primeiro minuto, sem mensalidade. Dentro da quota do GitHub, o custo marginal é zero.
• Arquitetura e tamanho. O CRACI cobra a mesma tarifa por ARM64 e x86-64. O runner arm64 de 2 núcleos do GitHub custa $0.005 por minuto, pelo que os $0.004 do CRACI são 20% menos. Com 32 vCPU, o CRACI custa $0.064 por minuto, cerca de 22% menos do que os $0.082 do GitHub em x64, mas o runner arm64 de 32 núcleos do GitHub, a $0.050, é mais barato por minuto do que o do CRACI. A memória também difere: uma unidade de computação do CRACI tem 3 GB de RAM por vCPU, e o runner privado standard de 2 núcleos do GitHub tem 8 GB. Escolha o perfil de que os seus builds precisam antes de comparar.

Consulte os preços do CRACI para as condições atuais.

Segurança da cadeia de abastecimento no runner

É isto que um runner do CRACI faz e que um runner generalista não foi concebido para fazer.

Um registo de cada dependência que o build obteve

Enquanto cada job é executado, um proxy que reconhece pacotes regista o tráfego para origens de pacotes: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de transferência. As evidências acompanham as caches de CI, pelo que os pacotes restaurados de uma cache continuam a ser contabilizados. Cada job produz uma SBOM em CycloneDX ou SPDX, com um estado de completude por job e por cache.

O grafo de dependências do GitHub é construído a partir dos manifestos e lockfiles do seu repositório e pode ser exportado como SPDX. Descreve o repositório, não um build específico.

Controlo sobre o que um build pode alcançar

As políticas de egress do CRACI são de negação ou de permissão por predefinição, com 24 predefinições integradas de origens de software, origens personalizadas tipificadas para npm, PyPI, apt, apk, o proxy Go, Nix, Cargo, registos OCI e Git, e regras explícitas de TLS, TCP, UDP e ICMP. As políticas são validadas antes de o job arrancar, falham em modo fechado e enviam um alerta quando são violadas. Sob uma política de negação por predefinição, uma dependência comprometida que tente alcançar um host inesperado é travada no runner.

Os runners maiores do GitHub oferecem endereços IP estáticos e rede privada do Azure, que lhe permitem gerir o acesso de saída através da sua própria rede Azure. Isso é útil, e é uma abordagem diferente: infraestrutura de rede que configura no Azure em vez de uma política associada ao job.

Proveniência

A API devolve SBOM, traços de rede e proveniência. O CRACI não assina a proveniência e não reivindica nenhum nível SLSA.

O GitHub oferece artifact attestations baseadas em Sigstore, que o GitHub afirma oferecerem SLSA v1.0 Build Level 2 por si só e Level 3 com reusable workflows. Se a proveniência assinada ou um nível SLSA formal for um requisito para si, esse é um ponto a favor do GitHub.

Isolamento e localização dos dados

Os jobs do CRACI são executados em máquinas virtuais isoladas. No plano Enterprise, o CRACI oferece residência de dados na UE, com execução dos builds em infraestrutura bare metal europeia.

Quando ficar nos runners alojados no GitHub

• Precisa de runners Windows ou macOS. O CRACI é hoje apenas Linux; Windows e macOS estão no roadmap.
• Os seus repositórios são públicos e os runners standard dão resposta a isso gratuitamente.
• A sua utilização cabe nos minutos incluídos no seu plano.

Muitas equipas combinam ambos: jobs Linux de build e de testes no CRACI, jobs macOS e Windows no GitHub. Como a mudança é uma etiqueta runs-on, pode migrar um job de cada vez.