CRACI vs Depot：執行器與建置佐證資料比較

簡短的答案

Depot 專注於建置加速：提供 GitHub Actions 執行器、具備持久性層快取的遠端 Docker 建置服務、適用於 Bazel 與 Gradle 等工具的遠端快取，以及自家的 CI 引擎。CRACI 則是以供應鏈安全為核心打造、與 GitHub Actions 相容的執行器。每個作業都會產生一份 SBOM，列出它實際取用的內容，並在您定義的對外連線（egress）政策下執行。

一句話說明差異：Depot 最佳化的是建置執行的速度，CRACI 記錄並控制的是進入建置的內容。兩者都取代 GitHub 託管執行器，因此您只需選擇其一。

一覽表

功能	CRACI	Depot
每個作業取用內容的記錄	具套件感知能力的代理伺服器記錄每個作業
SBOM	每個作業各一份，並標示完整性狀態	以 Syft 對 depot build 映像檔進行 SPDX 掃描
執行器上的對外連線政策	套件來源預設組態，作業開始前驗證	允許與拒絕規則，Linux 執行器
建置來源證明	透過 API 提供來源證明資料；未簽署	映像檔上的 BuildKit 證明
已出貨 SBOM 的監控	持續重新評估漏洞
CRA 佐證資料與報告	CycloneDX 或 SPDX 格式的 SBOM，透過 API 取得記錄；不提供報告匯出
加速 Docker 映像檔建置	本機、遠端與 bind mount 層快取	遠端 BuildKit，持久性 NVMe 快取
Windows 與 macOS 執行器	目前僅支援 Linux	所有方案皆支援 Windows 與 macOS
在您自己雲端中的執行器	客戶自行託管的執行器，Enterprise	您自己的 AWS 帳戶，Business 方案
價格（2 vCPU Linux）	每分鐘 $0.004（6 GB RAM）。ARM64 費率相同。	超出方案內含分鐘數後每分鐘 $0.006（8 GB RAM）。Arm 費率相同。
方案	每 2 vCPU 分鐘 $0.004，按秒計量。無月費。	Developer 每月 $20（2,000 分鐘），Startup 每月 $200（20,000 分鐘）。

支援
部分支援
不支援
已列入產品藍圖

Depot 的強項

Depot 打造了一個功能廣泛、文件完善的執行器與建置平台。以下重點摘自其官方文件：

豐富的執行器選擇。Linux 執行器採用 AMD EPYC（Intel 標籤）與 AWS Graviton4（Arm），規格從 2 vCPU、8 GB RAM 到 64 vCPU、256 GB，另有 Windows Server 2022 與 2025，所有方案也都提供 macOS 執行器。
快取。執行器連接 Depot 的分散式快取，Depot 表示其上傳與下載速度最高可達 1000 MiB/s。Depot 將其執行器描述為「比 GitHub 託管執行器快達 3 倍」，並具備「快 10 倍的快取」。
Docker 建置。depot build 可直接取代 docker build，在具備持久性 NVMe 層快取、供整個團隊共用的遠端 BuildKit 主機上執行，並能在不使用 QEMU 模擬的情況下原生建置 x86 與 Arm 映像檔。Depot 表示，這比在本機或 CI 供應商上建置快達 40 倍。
隔離。每個 GitHub Actions 作業都在全新的單一租戶 EC2 執行個體上執行，且絕不重複使用。
對外連線過濾。可針對 IP、CIDR 與主機名稱設定允許與拒絕規則，並可將預設規則設為允許或拒絕。目前適用於 Linux 執行器。
企業選項。在 Business 方案中，Depot Managed 會將資料平面部署到您自己的 AWS 帳戶，並提供 AWS PrivateLink、固定的對外 IP 與 SSO。Depot 列出了 SOC 2 Type II 報告。

如果 Docker 映像檔的建置時間是您 CI 的主要瓶頸，Depot 正是為了解決這個問題而打造的。

CRACI 的不同之處

CRACI 將建置視為您出貨內容的真實依據，而執行器正是蒐集這些佐證資料的地方。

建置取用內容的記錄

在每個作業執行時，具備套件感知能力的代理伺服器會記錄連往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態。相依套件的佐證資料會隨 CI 快取一起傳遞，因此從快取還原的套件仍會被計入。每個作業的 SBOM（CycloneDX 或 SPDX 格式）都會針對每個作業與每個快取標示完整性狀態，讓您知道記錄何時完整、何時不完整。

Depot 也能產生 SBOM：將 --sbom=true 加到 depot build 後，它會使用 Syft 產生 SPDX 格式的 SBOM。那是對建置所產出映像檔的掃描。CRACI 的記錄則涵蓋整個作業，包括從未進入映像檔的建置工具與套件，以及完全不建置映像檔的作業。

專為軟體來源設計的對外連線政策

兩項產品都能讓您封鎖執行器發出的非預期對外流量。CRACI 的政策可設為預設拒絕或預設允許，並提供 24 個內建軟體來源預設組態、適用於 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、OCI 套件庫以及透過 HTTPS 與 SSH 存取 Git 的具型別自訂來源，以及明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前經過驗證，採失效即封鎖（fail closed），並在違反時發出警示。Depot 的規則則在 IP、CIDR 與主機名稱層級運作，如果您只需要這些，會比較容易理解。

來源證明與監控

來源證明資料。API 會回傳 SBOM、網路追蹤記錄與來源證明（provenance）。CRACI 不會簽署來源證明。Depot 的映像檔建置可以附加 BuildKit 來源證明，透過 --provenance 旗標設定。
監控已出貨的內容。受監控的 SBOM 會持續針對新漏洞重新評估，檢測結果則跨建置與儲存庫彙整。

價格與規格

截至 2026 年 11 月，Depot 的 2 vCPU、8 GB Linux 執行器在超出方案內含分鐘數後每分鐘收費 $0.006，更大的規格則按比例增加：32 vCPU 每分鐘 $0.096。Developer 方案每月 $20，含 2,000 分鐘 GitHub Actions 使用時間；Startup 方案每月 $200，含 20,000 分鐘。Depot 按秒追蹤用量，每次執行沒有一分鐘的最低計費，並提供 7 天免費試用。

CRACI 的收費為每 vCPU 分鐘 $0.002，因此 2 vCPU 每分鐘 $0.004，32 vCPU 每分鐘 $0.064，ARM64 費率相同。按秒計量，且沒有月費。超出 Depot 方案分鐘數後，CRACI 在每種規格下的每分鐘費用都低約 33%。比較前請先對齊記憶體：CRACI 的運算單位每 vCPU 配有 3 GB RAM，而 Depot 的執行器每 vCPU 配有 4 GB。最新條款請參閱 CRACI 價格方案。

哪一個適合您

以下情況較適合 Depot

Docker 映像檔建置占用了您大部分的 CI 時間。
您需要 Windows 或 macOS 執行器。CRACI 目前僅支援 Linux；Windows 與 macOS 已列入產品藍圖。
您需要在自己的 AWS 帳戶內執行執行器。CRACI 目前尚未提供客戶自行託管的執行器；此功能已列入 Enterprise 的產品藍圖。
您依賴 Bazel、Gradle、Turborepo 或 sccache 的遠端快取。

以下情況較適合 CRACI

您需要從建置本身證明某個版本納入了哪些內容，並標示完整性狀態。
您希望依套件來源控制建置的對外連線，並在每個作業開始前完成驗證。
您希望在同一處監控已出貨的 SBOM。
您需要歐盟資料落地，這在 CRACI 的 Enterprise 方案中提供。

針對 Cyber Resilience Act

Cyber Resilience Act（CRA）要求製造商掌握產品中的元件、處理其中的漏洞，並保存佐證資料。Depot 的產品是建置基礎架構，其文件著重於速度、快取與隔離。CRACI 則將企業在更廣泛的 CRA 法規遵循流程中所需的軟體供應鏈可視性與佐證資料，有相當大的部分自動化：建置時 SBOM、漏洞追蹤、來源證明，以及 CycloneDX 或 SPDX 格式的 SBOM 匯出。

從 Depot 切換到 CRACI

在您的組織安裝 CRACI GitHub App，授予存取所有儲存庫或選定儲存庫的權限，然後變更作業的執行器標籤：

runs-on: craci

您的工作流程與 GitHub 介面都維持不變。一次移轉一個作業，從建置您出貨內容的作業開始。查看它的 SBOM 與網路追蹤記錄，再撰寫一份允許其所需來源的對外連線政策。進一步了解 CI/CD 整合與建置時 SBOM 產生。

關於快取、OIDC 信任政策、IP 允許清單與備援，請參閱如何切換 GitHub Actions 執行器供應商。