CRACI vs Azure Pipelines

Det korta svaret

Azure Pipelines är CI/CD-delen av Azure DevOps. Den bygger och testar på Linux, Windows och macOS, fungerar med Azure Repos och GitHub och driftsätter till virtuella maskiner, containrar, lokala mål och molnmål. Om din ärendehantering, dina repon och dina releaser finns i Azure DevOps, eller om du behöver byggen för Windows och macOS från ett och samma Microsoft-avtal, passar den bra.

CRACI täcker en snävare del och går djupare in i den. Det är en runner för GitHub Actions: medan varje jobb körs registrerar den varje externt beroende som bygget drar in, upprätthåller en egress-policy för byggets nätverk och tar fram SBOM:er, proveniensdata och sårbarhetsbevakning från den registreringen. I Azure Pipelines kommer de bevisen från de tasks och verktyg som du lägger till i varje pipeline.

En praktisk sak först. CRACI har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen. Azure Pipelines stöds inte, så en pipeline flyttas till ett GitHub Actions-arbetsflöde för att köras på CRACI.

I korthet

Vad Azure Pipelines gör bra

En plattform med Azure DevOps. Pipelines finns bredvid ärendehantering, Azure Repos och Azure Artifacts, så arbetsuppgifter, kod, byggen och paket finns på ett ställe. Den bygger också kod som finns på GitHub.

Alla operativsystem. Microsoft-hostade agenter kör Linux, Windows och macOS, och ett parallellt jobb kör vilket som helst av dem till samma pris. Egna agenter utökar det till dina egna maskiner, och Azure DevOps Server tar hela plattformen till din egen miljö.

Obegränsade minuter per jobb. Ett betalt parallellt jobb har ingen månatlig minutgräns, och varje körning får pågå i upp till 360 minuter. Ett team som håller sina jobb upptagna hela dagen betalar ett fast pris oavsett hur länge byggena tar.

Inbyggda driftsättningar. Pipelines tar byggen hela vägen till driftsättning på virtuella maskiner, containrar, lokala servrar och molnmål.

Där CRACI är annorlunda

SBOM:en kommer från bygget

I Azure Pipelines kommer en SBOM från en task eller ett skanningssteg som du lägger till, och som oftast läser manifest och lockfiler i efterhand. Byggen gör ofta mer än de filerna säger: installationsskript laddar ner kod, byggskript hämtar under bygget och cachar återställer paket som ingen lockfile nämner. CRACI ser den trafiken eftersom det är runnern. En paketmedveten proxy registrerar vad varje jobb hämtar från paketkällorna, för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, och beroendebevisen följer med CI-cachar. Varje SBOM i CycloneDX eller SPDX anger hur komplett den är, per jobb och per cache.

En policy för byggets nätverk

På Microsoft-hostade agenter är det inte du som bestämmer vad ett bygge får nå; på egna agenter är det nätverksinfrastruktur som du bygger och underhåller. CRACI lägger en egress-policy på varje jobb: neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor, validerad innan jobbet startar. Policyerna blockerar vid fel, och vid överträdelser skickas en varning.

Bevakning av det som levererats

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI sammanställer sårbarheter över byggen och repon, fortsätter att omvärdera bevakade SBOM:er när säkerhetsbulletiner dyker upp och visar vilka tidigare byggen som innehöll ett sårbart beroende, så att du vet under vilken period du var drabbad.

Betala per minut, inte per parallellt jobb

Azure Pipelines säljer samtidighet: varje bygge som du vill köra samtidigt kräver ett eget hostat jobb för $40 i månaden, i en enda storlek med 2 kärnor och 7 GB. Är ett jobb upptaget 8 timmar under var och en av 22 arbetsdagar kostar det ungefär $0.0038 per minut, lite under CRACI:s $0.004 för 2 vCPU. Är det upptaget hälften så länge blir det ungefär $0.0076. Byggen kommer i skurar, så de jobb som köpts för den mest belastade timmen står oanvända resten av dagen.

CRACI tar bara betalt för byggminuter: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift och utan avgift per SBOM. Ett jobb som behöver mer kraft kan använda upp till 32 vCPU. Se priser för CI-runners för hela jämförelsen.

Vilket som passar

• Stanna kvar på Azure Pipelines om din ärendehantering, dina repon och dina releaser finns i Azure DevOps, om du behöver byggen för Windows eller macOS, om du driftsätter från samma pipelines eller om dina jobb är upptagna hela dagen.
• Välj CRACI om din kod finns på GitHub eller är på väg dit, och du vill att varje bygge ska ta fram en registrering av vad som ingick i releasen, prissatt per byggminut.
• Använd båda under en gradvis flytt: valet görs per pipeline, så Linux-byggen kan flytta till GitHub Actions på CRACI medan pipelines för Windows, macOS och driftsättning stannar kvar.

Var tydlig med vad du avstår från när du väljer CRACI. Det driftsätter inte programvara, det kör bara Linux-jobb i dag med Windows och macOS på roadmapen, och kundhostade runners finns på roadmapen för Enterprise.

För reglerade produkter

Ramverk som EU:s Cyber Resilience Act förväntar sig att tillverkare vet vad som finns i varje release och hanterar dess sårbarheter, med rapporteringsskyldigheter från september 2026. I Azure Pipelines kommer de bevisen från de tasks och skannrar som du kopplar in i varje pipeline. CRACI tar fram dem från byggregistreringen och exporterar SBOM:er i CycloneDX eller SPDX. Det automatiserar en betydande del av den insyn i och de bevis om leveranskedjan för programvara som ett företag behöver i sitt bredare CRA-arbete; inget av verktygen gör en produkt regelefterlevande på egen hand.

Att flytta en pipeline till CRACI

GitHubs egen GitHub Actions Importer konverterar Azure DevOps-pipelines till GitHub Actions-arbetsflöden. GitHub siktar på att 80 % av varje arbetsflöde ska konverteras automatiskt och säger att varje konverterat arbetsflöde bör granskas innan det körs i produktion, så räkna med en del manuellt arbete. När en pipeline väl körs som ett GitHub Actions-arbetsflöde körs den på CRACI med en enda rad:

runs-on: craci

Körningarna syns fortfarande i GitHubs gränssnitt. Läs mer om SBOM-generering under bygget, se alternativ till Azure Pipelines, jämför CI/CD-plattformar eller se priser.