CRACI 能存取什麼，又會保留什麼

為什麼這個問題值得一個直接的答案

CI 執行器能接觸到的內容，比您技術堆疊中多數工具都多。它會簽出您的原始碼、安裝相依套件，並持有工作流程用來發布套件與部署的機密。2025 年 3 月 GitHub Action tj-actions/changed-files 遭入侵時，CISA 回報惡意程式碼外洩了多種機密，包括存取金鑰、GitHub 個人存取權杖、npm 權杖與 RSA 私密金鑰。作業執行期間，這些機密就存放在執行器上。

因此，在將工作流程指向 CRACI 之前，您應該確切知道它能存取什麼。答案整理如下，詳細內容請參閱 CRACI Trust Center 與 docs.craci.com。

GitHub App 的用途

CRACI 取代的是執行器，而不是 GitHub Actions。您保留原有的工作流程，只要將所選作業的 runs-on 改為 craci，執行結果仍會顯示在 GitHub 介面中。為此，您的組織需要安裝 CRACI GitHub App。

安裝時，您可以授予 App 存取所有儲存庫，或僅存取選定的儲存庫。只有您授予存取權的儲存庫，才能在 CRACI 上執行工作流程。

App 所要求的確切權限會列在 GitHub 的安裝畫面上，之後也可以在組織設定中檢視。簡言之，App 可以讀取您的程式碼與 Actions 執行記錄，並管理它為您的組織註冊的執行器。

您的程式碼在哪裡執行

作業在隔離的虛擬機器中執行。建置在歐洲的裸機基礎架構上執行。您的原始碼在建置期間於作業的虛擬機器內處理。

每個作業會在三種映像檔之一上執行：CRACI Slim、CRACI Slim ARM64，或與 GitHub 相容的 Ubuntu 24.04 映像檔。執行器目前僅支援 Linux；Windows 與 macOS 已列入產品藍圖。

作業如何隔離，以及作業結束後其虛擬機器如何處理，記載於 docs.craci.com 與 Trust Center。

CRACI 儲存哪些資料，以及保存多久

CRACI 在建置執行期間於作業的虛擬機器中處理您的原始碼，但不會儲存。它保留的是針對每次建置記錄的佐證資料，以及您的工作流程所儲存的快取：

• 建置中繼資料
• 套件資料，也就是每個作業取用的相依套件
• 作業的網路追蹤記錄
• SBOM
• 來源證明記錄
• 快取
• 稽核記錄

快取會保存您的工作流程放入的任何內容，因此請以對待其他建置輸出的方式看待快取內容。

預設保存期限為 180 天。Enterprise 方案可以設定自訂的保存期限。資料刪除與加密的說明請見 Trust Center。

託管與資料落地

CRACI 託管於歐洲並提供歐盟資料落地，建置在歐洲的裸機基礎架構上執行。平台運行於德國供應商 Hetzner 位於芬蘭 Tuusula 的資料中心。CRACI 處理哪些資料，請參閱資料落地。

建置本身可使用的控制措施

能看到您機密的執行器，也應該讓您限制這些機密能流向哪裡。CRACI 的網路對外連線（egress）政策會為每個作業設定預設拒絕或預設允許，並提供 24 個常見軟體來源的內建預設組態，以及適用於 npm、PyPI、Cargo、Go proxy 與 OCI 等套件庫的具型別自訂來源。您也可以撰寫明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前經過驗證，採失效即封鎖（fail closed），並拒絕未知欄位。違反政策時會發出警示。

作業會從固定的對外 IP 範圍連出，因此您可以依位址讓 CRACI 執行器通過您自己的防火牆。

組織內的存取

• Enterprise 方案支援 SAML 單一登入，並以 Google Workspace 作為身分識別提供者。
• 管理員稽核日誌會記錄管理操作。可在介面中查看，目前尚無法匯出。
• API 權杖由管理員建立，可隨時撤銷，並於 90 天後到期。

如何讓存取範圍保持最小

您不必把整個組織交給 CRACI，也能進行評估。

1. 只安裝在選定的儲存庫。安裝 App 時選擇「Only select repositories」，並挑選一兩個儲存庫。之後可以在組織的 Settings 中，依序進入 GitHub Apps、CRACI、Configure 擴大或縮小範圍。變更會立即生效。
2. 一次移轉一個作業。只有設定 runs-on: craci 的作業會在 CRACI 上執行。其他作業都留在目前使用的執行器上。
3. 從持有較少機密的作業開始。測試或 lint 作業就能讓您看到 SBOM 與網路佐證資料，而不必把發布或部署憑證放到新的執行器上。
4. 啟用預設拒絕的對外連線政策。只允許作業所需的套件來源，其餘一律不允許。
5. 了解如何退出。在 GitHub 中，您可以暫停 App，在保留安裝的同時封鎖其存取；或解除安裝 App，移除它對您組織的存取權。

我們的資安態勢

我們的資安頁面說明我們的做法：以文件為憑，而非空口聲明。Trust Center 彙整了平台背後的政策、控制措施與文件，您也可以在那裡索取廠商評估所需的資料。

本頁不主張任何認證。如需了解我們資安計畫及任何稽核工作的最新狀態，請查閱 Trust Center。