CRACI vs Namespace

A resposta curta

O Namespace é infraestrutura para programadores: runners geridos de GitHub Actions, builders remotos de Docker, volumes de cache, execução remota de Bazel e ambientes de desenvolvimento na cloud, tudo a funcionar em hardware operado pelo próprio Namespace. O CRACI é um runner compatível com GitHub Actions construído em torno da segurança da cadeia de abastecimento. Cada job produz uma SBOM do que realmente obteve e corre sob uma política de egress.

Ambos os produtos podem restringir o que um build alcança na rede, e as políticas de egress do Namespace estão bem concebidas. A diferença está no que mais acontece no runner: o Namespace concentra-se na velocidade, nas plataformas e na cache, e o CRACI regista o build e transporta esse registo para a monitorização de vulnerabilidades e as evidências para o CRA. Ambos substituem o runner alojado no GitHub, pelo que escolhe um.

Visão geral

O que o Namespace faz bem

• Plataformas. Linux em AMD64 (AMD EPYC) e ARM64 (AmpereOne e, em acesso antecipado, Apple Silicon), Windows em AMD EPYC, e macOS em Apple M5 Max ou M4 Pro. Os runners Windows vêm com o plano Team e superiores.
• Perfis de runner. Pode criar um perfil no dashboard com um sistema operativo e uma configuração de máquina e referenciá-lo em runs-on. As configurações vão até 64 vCPU em Linux, e o Namespace afirma que o suporte pode desbloquear até 512 GB de RAM.
• Cache. Os volumes de cache mantêm os dados em armazenamento local entre execuções, para que os jobs não carreguem e transfiram um arquivo de cache em cada execução. O Namespace oferece também cache de builds Docker, cache e execução remotas de Bazel, e caches de Turborepo e Gradle.
• Políticas de egress. As políticas funcionam em modo BLOCK, que nega tudo o que não é permitido, ou em modo ADVISORY, que regista as mesmas decisões sem bloquear, para que possa construir uma lista de permissões a partir de tráfego real. As regras correspondem a domínios, um conjunto de regras gerido github-actions mantém os runners a funcionar e, com inspeção profunda de pacotes, uma política pode injetar segredos em cabeçalhos de pedidos ou encaminhar tráfego através de um proxy. Um dashboard agrupa os pedidos permitidos e negados por domínio, e cada instância tem a sua própria vista de egress.
• Confiança. O Namespace tem SOC 2 Type II, com o relatório disponível no seu Trust Center, e oferece residência de dados exclusiva por região em planos empresariais.

O Namespace publica resultados de clientes, como o DuckDB a executar a sua CI "10x faster". Esses são valores do Namespace para esses clientes.

Onde o CRACI é diferente

O CRACI trata o build como a fonte da verdade sobre o que distribui.

Um registo do que o build obteve

Enquanto cada job corre, um proxy que reconhece pacotes regista o tráfego para origens de pacotes: origens npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de transferência. A evidência das dependências acompanha as caches de CI, pelo que um pacote restaurado de uma cache continua a ser contabilizado. A SBOM de cada job, em CycloneDX ou SPDX, traz um estado de completude por job e por cache. Os registos de egress do Namespace dizem-lhe que domínios um runner contactou. O registo do CRACI diz-lhe que pacotes e versões o build obteve deles.

Política de egress, comparada com justiça

As políticas do CRACI são de negação ou de permissão por defeito, com 24 predefinições integradas de origens de software, origens personalizadas tipadas para npm, PyPI, apt, apk, o proxy de Go, Nix, Cargo, registos OCI e Git sobre HTTPS e SSH, e regras explícitas de TLS, TCP, UDP e ICMP. As políticas são validadas antes de o job arrancar, falham em modo fechado, rejeitam campos desconhecidos e enviam um alerta em caso de violação.

O Namespace está à frente em dois pontos. O seu modo consultivo permite observar uma política antes de a aplicar, e o modo de monitorização do CRACI ainda está no roadmap. A sua injeção de segredos e as suas regras de proxy não têm equivalente no CRACI. O CRACI difere no facto de as suas origens serem tipadas por ecossistema de pacotes e protocolo, em vez de listadas como domínios, e de o mesmo job que corre sob a política produzir também o registo dos pacotes que obteve.

Proveniência e monitorização

• Dados de proveniência. A API devolve SBOM, traços de rede e proveniência. O CRACI não assina a proveniência e não reivindica nenhum nível SLSA.
• Monitorização do que foi distribuído. As SBOM monitorizadas são reavaliadas continuamente face a novas vulnerabilidades, e as conclusões são agregadas de todos os builds e repositórios.

Preço e tamanhos

O Namespace fatura em minutos de unidade, em que uma unidade é 1 vCPU e 2 GB de RAM durante um minuto em Linux. Em setembro de 2026, um runner Linux de 2 vCPU e 4 GB custa $0.002 por minuto dentro dos minutos do plano e $0.003 por minuto em excedente. O plano Team custa $100 por mês com 100.000 minutos de unidade, e o Business custa $250 por mês com 250.000. O Windows consome minutos ao dobro da tarifa de Linux e o macOS a dez vezes essa tarifa. A utilização tem um mínimo de um minuto por job e é depois arredondada ao minuto; o exemplo do Namespace fatura 150 segundos como 3 minutos.

O CRACI fatura $0.002 por vCPU-minuto, pelo que um runner de 2 vCPU com 6 GB de RAM custa $0.004 por minuto, com ARM64 ao mesmo preço, medido ao segundo e sem mensalidade. O preço de tabela por minuto do Namespace é mais baixo, com um mínimo de um minuto por job. As configurações padrão do Namespace têm 2 GB de RAM por vCPU e as do CRACI têm 3 GB, por isso escolha a configuração de que os seus builds precisam antes de comparar. Consulte os preços do CRACI para as condições atuais.

Qual escolher

O Namespace é a melhor opção quando

• Precisa de runners macOS ou Windows. O CRACI é hoje apenas Linux; Windows e macOS estão no roadmap.
• Quer experimentar uma política de egress em modo consultivo antes de a aplicar.
• Depende de execução remota de Bazel ou de volumes de cache.
• Usa também agentes Buildkite ou ambientes de desenvolvimento na cloud e quer um só fornecedor.

O CRACI é a melhor opção quando

• Precisa de mostrar o que entrou numa versão, com um estado de completude, a partir do próprio build.
• Quer a monitorização das SBOM distribuídas num só lugar.
• Precisa de evidências para o Cyber Resilience Act.
• Precisa de residência de dados na UE, disponível no plano Enterprise do CRACI.

Para o Cyber Resilience Act

O Cyber Resilience Act pede aos fabricantes que conheçam os componentes dos seus produtos, tratem as respetivas vulnerabilidades e guardem evidências. O produto do Namespace é infraestrutura rápida de CI e de desenvolvimento. O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA: SBOM geradas durante o build e exportadas em CycloneDX ou SPDX, acompanhamento de vulnerabilidades e proveniência através da API. Consulte as evidências para o CRA.

Mudar do Namespace para o CRACI

Instale a GitHub App do CRACI na sua organização, com acesso a todos os repositórios ou a um conjunto selecionado, e altere a etiqueta do runner num job:

runs-on: craci

Migre um job de cada vez, verifique a sua SBOM e o seu traço de rede, e saiba mais sobre a integração de CI/CD e a geração de SBOM durante o build.