CRACI och JFrog Artifactory

Två utsiktspunkter över samma leveranskedja

Många utvecklingsorganisationer leder pakettrafiken genom JFrog Artifactory. Ett fjärrepo fungerar som en cachande proxy för ett publikt register som npm eller PyPI, hämtar paket vid behov och behåller en kopia. Virtuella repon samlar flera källor bakom en URL. Dina egna byggresultat ligger i lokala repon. Det ger dig ett ställe att se och styra vad som kommer in i företaget.

CRACI sitter någon annanstans. Det är CI-runnern som dina GitHub Actions-jobb körs på, och medan varje jobb körs registrerar det de externa beroenden jobbet drar in. Artifactory svarar på "vad har flödat genom våra repon?" CRACI svarar på "vad använde just det här bygget, och vilken artefakt kom ut ur det?"

Vad Artifactory gör bra

Artifactory är en mogen repohanterare. Den ger team pålitlig, cachad åtkomst till paket uppströms, ett hem för interna artefakter och en enda kontrollpunkt för många pakettyper. Runt den lägger JFrog Platform till mer:

• Build-info. Med JFrog CLI lägger du till ett byggnamn och byggnummer i dina kommandon och publicerar en JSON-post med upplösta beroenden, producerade artefakter, miljövariabler och Git-uppgifter. Den posten stöder spårbarhet, build promotion och Xray-skanning.
• Xray. Skannar artefakter och byggen efter sårbarheter och exporterar SBOM:er i SPDX och CycloneDX. JFrogs licensmatris listar Xray som inkluderat i prenumerationerna Pro X, Enterprise X och Enterprise+ (per september 2026).
• Curation. Blockerar skadliga eller sårbara paket vid fjärrepot innan de når utvecklare, även paket som redan finns i fjärrcachen.

Blockering på paketnivå vid registret är en verklig styrka. CRACI blockerar inte enskilda paket i dag; blocklistor för paket i hela organisationen finns på CRACI:s roadmap.

Vad CRACI tillför

Insyn som inte beror på routning

Artifactory ser det som leds genom den. Byggen samarbetar inte alltid. Ett jobb kan ladda ner en verktygskedja från en GitHub-release, installera OS-paket, hämta en basavbild från ett publikt register eller köra ett skript som hämtar en binär. JFrogs egen dokumentation noterar att beroenden som hämtas av andra verktyg kan registreras manuellt med build-add-dependencies, vilket betyder att någon måste känna till dem.

CRACI registrerar på runnern. En paketmedveten proxy observerar trafiken till paketkällor under jobbet, för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Om dina installationer från npm eller PyPI går via en Artifactory-spegel fungerar det: CRACI registrerar de paketen också.

Bevis per bygge utan extra steg

Build-info är värdefullt, men det är något du lägger till i varje pipeline. På CRACI finns registreringen för varje jobb eftersom runnern tar fram den. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache räknas ändå. Varje SBOM har en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. När en registrering har en lucka står det i den.

Håll byggen på den godkända vägen

Eftersom CRACI kör jobbet kan du sätta dess egress-policy för nätverket. Policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor, typade egna källor (npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git) och uttryckliga regler för TLS, TCP, UDP och ICMP. De valideras innan jobbet startar och blockerar vid fel. En policy som tillåter din Artifactory-värd och nekar direkt åtkomst till publika register hjälper till att säkerställa att byggen faktiskt använder den styrda vägen. CRACI varnar dig när ett jobb bryter mot sin policy.

Byggbevis bredvid Artifactory

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. Lagra artefakten i Artifactory som du gör i dag; registreringen av vad bygget hämtade kommer från CRACI.

För team som berörs av EU:s Cyber Resilience Act ger den registreringen underlag till bevis på releasenivå. CRACI sammanställer sårbarheter över byggen och repon, omvärderar bevakade SBOM:er löpande och exporterar dem som CycloneDX eller SPDX. Se CRA-bevis och CRA-efterlevnad.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Så passar de ihop

1. Behåll Artifactory som din paketproxy, artefaktlagring och distributionspunkt för releaser.
2. Flytta GitHub Actions-jobb till CRACI genom att ändra runs-on till craci. Arbetsflödena förblir desamma, och körningarna syns fortfarande i GitHubs gränssnitt.
3. Peka installationer från npm och PyPI mot dina Artifactory-speglar som du gör i dag.
4. Använd en egress-policy i CRACI för att hålla byggen på godkända källor, inklusive Artifactory.
5. Använd CRACI:s SBOM, proveniens och nätverksspårning per bygge som bevis för varje release.

Om du förlitar dig på JFrog build-info eller Curation i dag, behåll dem. CRACI har i dag stöd för enbart GitHub Actions (GitLab CI och Jenkins finns på roadmapen), så pipelines på andra CI-system stannar där de är.

Om du ska ersätta själva Artifactory, se alternativ till JFrog Artifactory.

Vanliga frågor

Ersätter CRACI Artifactory?

Nej. CRACI är ingen repohanterare. Det lagrar inte dina paket eller releasebinärer, och det distribuerar dem inte. Det kör dina byggen och registrerar bevis om dem.

Överlappar CRACI med Xray?

Delvis. Båda exporterar SBOM:er i CycloneDX och SPDX och båda hjälper dig att spåra sårbarheter. Skillnaden är indata. Xray skannar artefakterna och byggena som JFrog känner till. CRACI:s SBOM och sårbarhetsvy kommer från vad varje bygge hämtade medan det kördes, över byggen och repon. Om Xray är inbäddat i din releaseprocess, behåll det och behandla CRACI:s registrering per bygge som en andra, oberoende källa.

Vilka Artifactory-repotyper fungerar med CRACI?

Det är bekräftat att Artifactory-speglar för npm och PyPI fungerar med CRACI-byggen. För andra pakettyper, prata med oss om din installation innan du flyttar de pipelinerna.