CRACI 與 Jenkins 比較

簡短的答案

Jenkins 自稱「領先的開源自動化伺服器」，這並非沒有道理：它可以在您安裝的任何地方執行，能把工作分散到您提供的所有機器上， 而超過 2,300 個社群外掛幾乎能把它連接到任何工具。如果建置必須完全留在您自己的網路內， 或您的管線仰賴在其他地方找不到替代品的外掛，Jenkins 就很難被取代。

CRACI 是另一種類型的產品。它是專為 GitHub Actions 打造的代管執行器：沒有需要升級的控制器， 也沒有需要修補的代理程式。在每個作業執行時，CRACI 會記錄建置取用的每一個外部相依套件，對建置網路強制執行 對外連線政策，並依據這份記錄產生 SBOM、來源證明資料與漏洞監控。Jenkins 可以透過您自行挑選、設定並持續更新的外掛 完成其中一部分；CRACI 則讓執行器本身成為資安記錄。

有一個實務上的重點必須先說明。CRACI 目前支援 GitHub Actions，Jenkins 與 GitLab CI 已列入產品藍圖， 但尚無時程。若現在就要在 CRACI 上執行，Jenkins 管線需要先轉換為 GitHub Actions 工作流程。

一覽比較

Jenkins 的優勢

在您需要的地方執行。Jenkins 在您自己的伺服器、您自己的網路中執行，不涉及任何 SaaS 控制平面。代理程式可以是 Linux、Windows、macOS 或任何其他您能連接的 機器，因此一個控制器就能建置後端、桌面用戶端與韌體。

幾乎什麼都有外掛。外掛生態系是 Jenkins 最大的優勢。原始碼控管、 建置工具、測試報告、部署目標與資安掃描工具都有外掛，而使用特殊工具鏈的團隊， 常會發現 Jenkins 是唯一已經支援它們的 CI。

沒有授權費用。Jenkins 免費且開源。您的成本是執行它的機器，以及 團隊花在維運上的時間。

CRACI 的不同之處

無需維運

Jenkins 環境是由您的團隊負責的系統：控制器、代理程式、外掛與升級。 Jenkins 專案經常針對核心與外掛發布資安公告，2026 年每月都有好幾則（例如 9 月 2 日、9 月 16 日與 8 月 5 日），而套用每一則公告都是您的工作。CRACI 在代管執行器上執行作業， 採用隔離的虛擬機器，每個作業一台 VM，因此沒有需要您修補的建置伺服器。

SBOM 來自建置本身

在 Jenkins 上，SBOM 來自您加入的外掛或掃描步驟，通常是在事後讀取 manifest 與鎖定檔（lockfile）。 建置實際做的事往往比這些檔案描述的更多：安裝腳本會下載程式碼，建置腳本會在建置時 抓取內容，而快取會還原任何鎖定檔都未提及的套件。CRACI 本身就是執行器，所以看得到這些流量。 具備套件感知能力的代理伺服器會記錄每個作業從套件來源取用的內容，涵蓋 npm、PyPI、RubyGems、Composer、Cargo、Go、 Nix、OCI、apt、apk 與 Git 來源，而相依套件的佐證資料會隨 CI 快取一起傳遞。每份 CycloneDX 或 SPDX SBOM 都會依作業與快取標明其完整程度。

建置網路上的政策

在 Jenkins 上，要控管建置可以連線到哪裡，就得在代理程式周圍設定防火牆規則或代理伺服器，並由您設計 與維護。在 CRACI 上，每個作業的對外連線政策決定它可以連線到哪些主機：預設拒絕或預設 允許，搭配 24 個內建的軟體來源預設組態與具類型的自訂來源，並在作業開始前完成驗證。政策採 失效即封鎖（fail closed），違規時會傳送警示。

監控已出貨的內容

API 會回傳 SBOM、網路追蹤記錄與來源證明。CRACI 會跨建置與 儲存庫彙整漏洞，在資安公告出現時持續重新評估受監控的 SBOM，並顯示哪些過去的建置含有 有漏洞的相依套件，讓您知道受影響的期間。

按建置分鐘數計價

Jenkins 沒有授權費，但執行起來並非免費：無論閒置或忙碌，您都要支付控制器與代理程式的費用，以及 讓它們保持更新的人力成本。CRACI 只收取建置分鐘數的費用：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器 為 $0.004），按秒計費，無月費，也不按 SBOM 收費。

哪一個適合您

• 繼續使用 Jenkins：如果建置必須完全在您自己的基礎架構上執行、您仰賴的外掛 在 GitHub Actions 中沒有對應項目、您需要 Windows 或 macOS 建置，或您有維運人力且它運作良好。
• 選擇 CRACI：如果您的程式碼在 GitHub 上、您正在或已準備好把管線移轉到 GitHub Actions，並希望不再維運建置伺服器，同時取得每個版本發布所含內容的記錄。
• 兩者並用：在逐步移轉期間，把新專案與 Linux 管線移到 CRACI 上的 GitHub Actions， 而穩定的 Jenkins 作業則維持原狀。

請清楚了解目前選擇 CRACI 會放棄什麼。它只執行 Linux 作業，Windows 與 macOS 已列入 產品藍圖；客戶自行託管的執行器已列入 Enterprise 的產品藍圖；而在支援 Jenkins 之前，Jenkins 管線需要轉換為 GitHub Actions 工作流程。

針對受法規規範的產品

歐盟 Cyber Resilience Act（CRA）等框架要求製造商掌握 每個版本發布包含的內容，並處理其漏洞，通報義務自 2026 年 9 月起適用。在 Jenkins 上，這些 佐證資料來自您接入各條管線的外掛與掃描工具。CRACI 則依據建置 記錄產生佐證資料，並將 SBOM 匯出為 CycloneDX 或 SPDX。它會自動處理企業在更廣泛的 CRA 流程中所需的軟體供應鏈 可視性與佐證資料中相當大的一部分；兩種工具都無法單獨讓產品符合 法規。

將管線移轉到 CRACI

GitHub 自家的 GitHub Actions Importer 可將 Jenkins 管線轉換為 GitHub Actions 工作流程。GitHub 的目標是讓每個工作流程 80% 的內容自動轉換，並表示每個轉換後的工作流程都應在用於正式環境前先行檢查，因此請預留一些手動作業。當管線 以 GitHub Actions 工作流程執行後，只要一行就能在 CRACI 上執行：

runs-on: craci

執行結果仍會顯示在 GitHub UI 中。進一步了解建置時 SBOM 產生、查看 Jenkins 替代方案、比較 CI/CD 平台，或查看價格方案。