Runners europeus para GitHub Actions

O que um runner europeu muda, e o que não muda

Um pipeline de GitHub Actions tem camadas, e cada uma pode estar num local diferente. Um runner de CI é apenas uma delas: a máquina onde o job é executado. Eis quem opera cada camada, e onde, em três configurações comuns.

Camada	Runners alojados no GitHub em github.com	GitHub Enterprise Cloud com residência de dados na UE	Runners do CRACI
Armazenamento do repositório e do código-fonte	GitHub; o github.com guarda os dados nos EUA por predefinição	GitHub, na região da UE	GitHub, como na sua configuração atual. O CRACI processa o código na máquina virtual do job e não o guarda
Orquestração, execuções de workflows, logs, interface de verificações	GitHub	GitHub; dados e logs do Actions guardados na região da UE	GitHub, como na sua configuração atual
Armazenamento de segredos	GitHub	GitHub	GitHub; entregues ao runner do CRACI quando o job arranca
Execução do build	Runners alojados no GitHub em Microsoft Azure e, para alguns jobs Linux standard, AWS; regiões não indicadas	Runners alojados em regiões Azure da UE, através de Azure private networking	Runners do CRACI em infraestrutura bare-metal europeia
Registo do que o build obteve	Não registado	Não registado	SBOM e traços de rede, guardados pelo CRACI, alojados na Europa
Artefactos de actions/upload-artifact	GitHub	GitHub; dados do Actions guardados na região da UE	GitHub, como na sua configuração atual
Quem opera	GitHub, uma empresa da Microsoft	GitHub, uma empresa da Microsoft	GitHub para o plano de controlo; CRACI Corporation Oy, uma empresa finlandesa, para o runner

Em termos simples: com o CRACI, a computação que vê o seu código e os seus segredos durante o build é executada na Europa e operada por uma empresa europeia, tal como o registo de cada pacote que o build incorporou. O GitHub continua a guardar o código e a orquestrar o job. O CRACI substitui o runner, não o GitHub Actions.

Residência de dados não é soberania digital

A residência de dados diz respeito ao local onde os dados são guardados e processados. A soberania digital acrescenta duas perguntas: quem controla os dados e que lei se aplica a essa entidade, incluindo que jurisdição pode obrigar o operador a entregar os dados. Um centro de dados europeu operado por uma empresa de fora da Europa dá-lhe residência, não soberania. Saber que jurisdições importam no seu caso é uma questão para o seu consultor jurídico, não para um fornecedor de runners.

Uma regra de decisão que resiste a uma auditoria: liste cada camada da tabela acima, anote quem a opera e onde é executada, e compare isso com o seu requisito. Se o requisito abranger apenas onde os builds são executados e onde ficam os dados de build, um runner europeu pode cumpri-lo. Se abranger o plano de controlo ou o armazenamento do código, um runner, por si só, não consegue.

As suas opções na Europa

Opção	O que é executado na Europa	Quem opera	Limitações
GitHub Enterprise Cloud com residência de dados (GHE.com)	Código e dados do Actions na região da UE; runners alojados em regiões Azure da UE através de Azure private networking (x64 em France Central e Sweden Central, arm64 em France Central)	GitHub	Apenas Enterprise Cloud; uma enterprise GHE.com separada
CRACI	Runners Linux geridos em infraestrutura bare-metal europeia, com evidências de build incluídas	CRACI Corporation Oy, uma empresa europeia	Apenas GitHub Actions e Linux, hoje
Ubicloud	Runners de GitHub Actions nas suas regiões europeias, na Alemanha e na Finlândia	Ubicloud, com escritórios em São Francisco, Amstelveen e Istambul	Runners Ubuntu
Avrea	O Avrea indica fornecedores de alojamento como Aiven, Google Cloud e OVHcloud, e pede aos clientes que discutam com ele os requisitos de localização dos dados	Avrea, fundado em Helsínquia	A localização dos dados é acordada com o Avrea, não publicada por região
Blacksmith	Máquinas em Amesterdão e Frankfurt, além dos EUA; uma organização pode pedir para ser movida para outra região	Blacksmith, com o plano de controlo na AWS	Uma localização europeia, não um operador europeu
Runners self-hosted numa cloud europeia	Os seus runners nos servidores de um fornecedor europeu, com Actions Runner Controller ou simples máquinas virtuais	A sua equipa	É a sua equipa que os atualiza, isola e escala
Outra plataforma de CI com alojamento europeu	Tudo, incluindo o plano de controlo: GitLab self-managed ou uma instância Forgejo ou Gitea	A sua equipa ou o seu parceiro de alojamento	Uma migração de CI, não uma mudança de runner

Para o detalhe um a um, consulte CRACI vs Ubicloud, CRACI vs Avrea e CRACI vs Blacksmith e, para o panorama mais amplo, fornecedores de runners de GitHub Actions comparados. Se está a ponderar operar os seus próprios runners, consulte runners geridos vs self-hosted.

O que o CRACI executa na Europa

• Runners geridos, alojados na Europa. Os builds são executados em infraestrutura bare-metal europeia, operada pela CRACI Corporation Oy. O CRACI oferece hoje runners geridos; os runners alojados pelo cliente estão no roadmap.
• Residência de dados na UE no Enterprise. O plano Enterprise inclui residência de dados na UE, a par de retenção personalizada e SAML SSO.
• Isolamento. Cada job é executado na sua própria máquina virtual isolada.
• O que o CRACI guarda, e o que não guarda. O CRACI processa o seu código-fonte na máquina virtual do job e não o guarda. Guarda metadados de build, dados de pacotes, traços de rede, SBOM, proveniência, caches e registos de auditoria. As caches contêm o que o seu workflow lá guardar.
• Um intervalo estável de IP de egress, para as listas de permissões a que o seu build acede.
• Certificação. O sistema de gestão da segurança da informação da CRACI Corporation Oy, para o desenvolvimento e a operação da plataforma CRACI, está certificado segundo a ISO/IEC 27001 pela Into Certification. O CRACI está em conformidade com o RGPD.

Para o detalhe de que a sua avaliação de segurança precisa, consulte segurança, o Trust Center e a que o CRACI pode aceder.

Porque vale a pena mover a camada de build

Mesmo quando o GitHub fica, o runner é a camada que vale a pena mover primeiro. É onde o seu código é compilado com os seus segredos presentes e onde os pacotes de terceiros entram no seu produto. Executá-lo em infraestrutura europeia mantém essa execução, e o registo de cada pacote que obteve, em infraestrutura operada por uma empresa europeia, e não na computação de um hyperscaler norte-americano.

Esse registo é também uma evidência. O CRACI regista as dependências de cada job como uma SBOM com um estado de completude, sob uma política de egress que falha em modo fechado, e continua a monitorizá-las face a novas vulnerabilidades. A regulamentação europeia, como o Cyber Resilience Act, pede cada vez mais aos fabricantes exatamente este tipo de registo.

A mudança é uma alteração de etiqueta: runs-on: craci. O CRACI executa builds cerca de duas vezes mais depressa do que os runners alojados no GitHub, graças a hardware mais rápido, tempos em fila mais curtos e caching, e cobra apenas os minutos de build: $0.002 por minuto de vCPU ($0.004 para um runner predefinido de 2 vCPU), medidos ao segundo, sem mensalidade. Consulte os runners do CRACI, os preços e como mudar de fornecedor de runners.

Quando o CRACI não é a resposta

• O seu requisito abrange o plano de controlo ou o armazenamento do código. Um runner europeu não chega. Precisa de GitLab self-managed ou de uma forge self-hosted na Europa; consulte alternativas ao GitLab. Hoje, o CRACI suporta apenas GitHub Actions, com GitLab CI e Jenkins no roadmap.
• Os runners têm de ser executados no seu próprio hardware ou no seu próprio tenant cloud. Os runners do CRACI alojados pelo cliente estão no roadmap e não estão disponíveis hoje.
• Precisa de builds macOS ou Windows na Europa. Hoje, o CRACI executa Linux em x86-64 e ARM64, com Windows e macOS no roadmap.
• Precisa do preço por minuto mais baixo. Outras opções europeias anunciam preços mais baixos.

Runners europeus de GitHub Actions: perguntas frequentes

Os builds de GitHub Actions podem ser executados na UE?

Sim. O build é executado onde estiver o runner, pelo que um runner em infraestrutura europeia executa o seu build na Europa. Pode obtê-lo através de um fornecedor gerido como o CRACI, do GitHub Enterprise Cloud com residência de dados, que pode colocar runners alojados em regiões Azure da UE, ou executando runners self-hosted numa cloud europeia.

Existe um fornecedor europeu de runners de GitHub Actions?

Sim. O CRACI é uma empresa europeia, e os seus runners geridos para GitHub Actions são executados em infraestrutura bare-metal europeia. Outros fornecedores também têm máquinas na Europa; verifique onde estão as máquinas e que empresa as opera.

Se o meu runner estiver na UE, a minha CI tem soberania digital?

Não por si só. Um runner europeu move a execução do build e o registo do que o build obteve. O GitHub continua a guardar o código, os segredos, os logs e os artefactos, e orquestra todos os jobs. Para retirar o GitHub da equação, precisa de outra plataforma de CI com alojamento europeu.

Que dados ficam no GitHub quando uso um runner europeu?

O repositório, os ficheiros de workflow, o armazenamento de segredos, as execuções e os logs dos workflows, a interface de verificações e os artefactos enviados com actions/upload-artifact. O runner recebe o código e os segredos do job enquanto este decorre. O CRACI processa o seu código na máquina virtual do job e não o guarda.

O GitHub oferece residência de dados na UE para o Actions?

No GitHub Enterprise Cloud com residência de dados, alojado em GHE.com, pode escolher uma região da UE, e o GitHub guarda aí os repositórios e os dados e logs do Actions. Os seus runners alojados podem ser executados em regiões Azure da UE através de Azure private networking. O operador continua a ser o GitHub, e a oferta destina-se apenas a clientes Enterprise Cloud.

Qual é a diferença entre residência de dados na UE e soberania digital?

A residência de dados diz respeito ao local onde os dados são guardados e processados. A soberania digital acrescenta quem controla os dados e que lei se aplica a essa entidade. Um centro de dados europeu operado por uma empresa de fora da Europa dá-lhe residência, não soberania. Liste cada camada do seu pipeline, quem a opera e onde, e compare isso com o seu requisito.