比較
CRACI 與 Harness 比較
Harness 是軟體交付平台，擁有自己的 CI，以及在管線中產生 SBOM 與 SLSA 來源證明的 Supply Chain Security 模組。CRACI 則是您的 GitHub Actions 作業所執行的執行器，因此 SBOM、網路政策與來源證明都來自建置本身。
更新日期
簡短的答案
Harness 成立於 2017 年，總部位於舊金山，銷售的平台涵蓋程式碼寫完之後的一切：持續整合、持續交付、功能旗標、雲端成本管理、混沌工程與資安測試。其 Supply Chain Security（SCS）模組加入了 SBOM 產生、SLSA 來源證明、OPA 政策關卡，以及儲存庫與管線的態勢檢查。如果您希望整條交付管線都由同一家廠商提供，並跨多個 Git 平台使用，Harness 正是為此打造。
CRACI 的範圍較窄，但更深入建置本身。它是 GitHub Actions 執行器：每個作業執行期間，它會記錄建置取用的每個外部相依套件，在建置網路上強制執行對外連線（egress）政策，並依據這份記錄產生 SBOM、來源證明資料與漏洞監控。Harness 是在管線中加入供應鏈步驟；CRACI 則讓執行器本身成為資安記錄。
有一個實務上的重點要先說明。CRACI 目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。Harness CI 管線需要搬移到 GitHub Actions，才能在 CRACI 上執行。
重點一覽
| 功能 | CRACI | Harness |
|---|---|---|
| SBOM 的產生方式 | 依據每個作業實際取用的內容記錄，並附完整性狀態 | 在管線步驟中以 Syft 或 cdxgen 掃描映像檔或儲存庫 |
| SBOM 格式 | CycloneDX 與 SPDX | SPDX 與 CycloneDX |
| 建置來源證明 | 透過 API 提供來源證明資料；未簽署 | SLSA Build L1 至 L3，以 cosign 簽署 |
| 建置網路的對外連線政策 | 預設拒絕或允許，於作業開始前驗證，失效即封鎖 | 表示可偵測執行器的異常網路呼叫 |
| 政策關卡 | 依檢測結果、特定 CVE 或授權阻擋建置 | 針對 SBOM、來源證明與部署的 OPA 政策 |
| 監控已出貨的內容 | 持續重新評估受監控的 SBOM | 標記暴露於新 CVE 的管線與建置產物 |
| CI/CD 與儲存庫態勢檢查 | OWASP Top 10 CI/CD Risks 與 CIS 基準 | |
| CI 系統 | 目前支援 GitHub Actions；GitLab CI 與 Jenkins 已列入產品藍圖 | Harness CI；SCS 步驟也適用於 GitHub Actions 與 GitLab CI/CD |
| 託管執行器平台 | x86-64 與 ARM64 上的 Linux，1 至 32 vCPU。Windows 與 macOS 已列入產品藍圖。 | Linux AMD64 最高 96 核心、ARM64 最高 64 核心、Windows，以及 Apple M4 上的 macOS。 |
| 自架建置基礎設施 | 客戶自架執行器，Enterprise | Kubernetes、VM 或實體伺服器 |
| 交付、功能旗標、成本管理 | CRACI 涵蓋的是建置 | 同一平台的各個模組 |
| 價格，2 vCPU Linux | 每分鐘 $0.004（每 vCPU 分鐘 $0.002），按秒計量。 | 2 核心、7 GB 每分鐘 $0.005，以最接近的分鐘數計算。 |
| 方案 | 按建置分鐘數付費：每 2 vCPU 分鐘 $0.004，按秒計量。沒有月費，也不按 SBOM 收費。 | Free 方案每月 2,000 Harness Cloud 點數；付費方案、點數套裝與 Supply Chain Security 須洽詢業務（截至 2026 年 9 月）。 |
- 支援
- 部分支援
- 不支援
- 已列入產品藍圖
Harness 的強項
單一平台涵蓋交付。Harness 涵蓋 CI、CD、GitOps、功能旗標、基礎設施即程式碼、混沌工程與雲端成本管理，並以 OPA 為基礎在其間強制執行政策。它可搭配 GitHub、GitLab、Bitbucket、Azure Repos 與自家的 Harness Code 儲存庫，並表示其服務超過 1,000 家企業客戶，員工超過 1,200 人。
建置基礎設施可自由選擇。Harness Cloud 在 Harness 代管的 Linux、Windows 與 macOS 機器上執行建置：Linux AMD64 為 2 至 96 核心，ARM64 為 2 至 64 核心且費率相同，macOS 則執行於 Apple M4。Linux AMD64 可使用巢狀虛擬化。您也可以在自有的 Kubernetes 叢集、VM 或實體伺服器上執行建置。Test Intelligence 只執行受變更影響的測試，Build Intelligence 與快取功能則會重複使用未變更的產出與相依套件。
管線中的供應鏈功能。SCS 模組的 SBOM Orchestration 步驟會以 Syft 或 cdxgen 為容器映像檔或程式碼儲存庫產生 SPDX 或 CycloneDX 格式的 SBOM，也能匯入其他工具產生的 SBOM。Harness 表示它會在每次建置時產生並更新 SBOM。OPA 政策可依元件、授權或來源證明阻擋建置與部署，修補追蹤器則會追蹤有漏洞的建置產物。
SLSA 來源證明。Harness 依 SLSA v1.0 記載了 SLSA Build Level 1、2 與 3，來源證明透過 in-toto 證明與 cosign 簽署。其文件指出，Level 3 需要強化的建置基礎設施或 Harness Cloud，後者會將各個建置程序彼此隔離。
態勢與管線檢查。SCS 會依據 OWASP Top 10 CI/CD Security Risks 與 CIS 基準稽核儲存庫與管線，並標記未固定版本、未經驗證與權限過大的 GitHub Actions。Harness 也將其 SCS 步驟以 GitHub Actions 與 GitLab CI/CD 元件形式提供，因此該模組不限於 Harness CI；這些步驟需要具備 SCS 授權的 Harness 帳戶。
CRACI 的不同之處
SBOM 來自建置本身，而不是對其產出的掃描
Syft 與 cdxgen 是掃描工具：它們在事後讀取映像檔或儲存庫，並從鎖定檔（lockfile）、manifest 與套件資料庫推斷其中的內容。當這些檔案能說明一切時，這種做法效果很好。但建置往往做得更多：安裝腳本會下載程式碼，Rust 建置腳本會在建置時取用內容，快取也會還原任何鎖定檔都未提及的套件。
CRACI 能看到這些流量，因為它就是執行器。具備套件感知能力的代理伺服器會記錄每個作業從套件來源取用的內容，涵蓋 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態，而相依套件的佐證資料也會隨 CI 快取一起傳遞。它會記錄以鎖定檔為基礎的工具所遺漏的隱藏相依套件，而每份 SBOM 都會針對每個作業與每個快取標示其完整程度：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。
在建置網路上執行政策，而不是事後偵測
Harness 表示其模組可偵測 CI 執行器的異常行為，包括網路呼叫與權限提升。CRACI 走的是另一條路：在執行器上以對外連線政策決定作業可以連線到哪些主機。政策可設為預設拒絕或預設允許，內建 24 種軟體來源預設組態與具型別的自訂來源，會在作業開始前完成驗證，並採失效即封鎖（fail closed）設計。由於預設拒絕的政策只允許建置所需的連線，而不是去找已知的惡意主機，因此即使是從未見過的攻擊，也能阻擋資料外洩至攻擊者的伺服器。違規時會發送警示。
來源證明與監控出自同一份記錄
API 會回傳 SBOM、網路追蹤記錄與來源證明。CRACI 不會簽署來源證明，也不宣稱任何 SLSA 等級；Harness 會簽署其來源證明並記載 Level 1 至 3，如果已簽署的來源證明或 SLSA 等級是採購要求，這是 Harness 的優勢。CRACI 會跨建置與儲存庫彙整漏洞，在新的資安公告出現時持續重新評估受監控的 SBOM，並顯示哪些過去的建置包含有漏洞的相依套件，讓您知道受影響的期間。
一目了然的價格
CRACI 只依建置分鐘數收費：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計量，沒有月費，也不按 SBOM 收費。Harness 公布了 Harness Cloud 的費率：2 核心、7 GB 的 Linux 機器每分鐘 $0.005，32 核心為 $0.080，以最接近的分鐘數計費；付費方案與 SCS 模組的價格則須洽詢業務。CRACI 的牌價在兩種規格下每分鐘都低 20%（$0.004 對 $0.005，$0.064 對 $0.080）；Harness 的機器每核心配備的記憶體較多。
哪一個適合您
- 繼續使用 Harness：如果您希望 CI、CD、功能旗標與成本管理都由同一家廠商提供、您的程式碼位於 GitLab、Bitbucket 或 Azure Repos、您需要 Windows、macOS 或自有的建置硬體，或有文件佐證的 SLSA Build Level 3 是必要條件。
- 選擇 CRACI：如果您的程式碼在 GitHub 上，且您正在或計畫使用 GitHub Actions，並希望 SBOM、網路政策與來源證明都來自實際執行建置的執行器，且依建置分鐘數計價。
請清楚了解選擇 CRACI 時會放棄什麼。它不負責部署軟體、執行功能旗標或管理雲端成本，也不會依態勢基準檢查儲存庫與管線，或掃描原始碼。它目前只執行 Linux 作業，Windows 與 macOS 已列入產品藍圖，客戶自架執行器也已列入 Enterprise 的產品藍圖。
受法規規範的產品
歐盟 Cyber Resilience Act（CRA）等框架要求製造商掌握每個版本包含的內容並處理其漏洞，通報義務自 2026 年 9 月起適用。Harness 從其管線步驟提供 SBOM、來源證明與政策結果。CRACI 則依據建置記錄產生佐證資料，並將 SBOM 匯出為 CycloneDX 或 SPDX。它將企業在更廣泛的 CRA 流程中所需的相當大一部分軟體供應鏈可視性與佐證資料自動化；兩者都無法單獨讓產品達到法規遵循。
將管線搬移到 CRACI
CRACI 取代的是執行器，而不是 GitHub Actions，執行記錄仍會顯示在 GitHub UI 中。管線一旦以 GitHub Actions 工作流程執行，只要一行設定就能在 CRACI 上執行：
runs-on: craci進一步了解建置時 SBOM 產生、比較 CI/CD 平台、查看 Harness 替代方案， 或查看價格方案。