CRACI 與 Namespace 比較

簡短的答案

Namespace 是開發者基礎設施：代管 GitHub Actions 執行器、遠端 Docker 建置器、快取磁碟區、Bazel 遠端執行與雲端開發環境，全部執行在 Namespace 自行營運的硬體上。CRACI 則是以軟體供應鏈安全為核心打造、與 GitHub Actions 相容的執行器。每個作業都會產生一份列出其實際取用內容的 SBOM，並在對外連線政策下執行。

兩項產品都能限制建置在網路上可連線的目的地，而且 Namespace 的對外連線政策設計得很好。差別在於執行器上還發生了什麼：Namespace 專注於速度、平台與快取，CRACI 則記錄建置，並將該記錄延伸到漏洞監控與 CRA 佐證資料。兩者都取代 GitHub 託管執行器，因此您只需選擇其一。

一覽比較

Namespace 的強項

• 平台。支援 AMD64（AMD EPYC）與 ARM64（AmpereOne，以及搶先體驗中的 Apple Silicon）上的 Linux、AMD EPYC 上的 Windows，以及 Apple M5 Max 或 M4 Pro 上的 macOS。Windows 執行器自 Team 方案以上提供。
• 執行器設定檔。您可以在儀表板中以作業系統與機器規格建立設定檔，再於 runs-on 中引用。Linux 規格最高可達 64 vCPU，Namespace 表示透過支援團隊最高可開放至 512 GB RAM。
• 快取。快取磁碟區會在多次執行之間將資料保留在本機儲存空間，因此作業不必每次都上傳與下載快取封存檔。Namespace 也提供 Docker 建置快取、Bazel 遠端快取與遠端執行，以及 Turborepo 與 Gradle 快取。
• 對外連線政策。政策可在 BLOCK 模式下執行，拒絕所有未經允許的連線；或在 ADVISORY 模式下執行，記錄相同的判定結果但不封鎖，讓您能依據實際流量建立允許清單。規則以網域比對，代管的 github-actions 規則集可確保執行器正常運作；搭配深度封包檢測，政策還能將機密注入請求標頭，或透過代理伺服器轉送流量。儀表板會依網域將允許與拒絕的請求分組，每個執行個體也有各自的對外連線檢視。
• 信任。Namespace 已取得 SOC 2 Type II，報告可在其 Trust Center 取得，並在企業方案中提供限定區域的資料落地。

Namespace 公開了客戶成果，例如 DuckDB 的 CI 執行速度「快了 10 倍」。這些是 Namespace 針對這些客戶提出的數據。

CRACI 的不同之處

CRACI 將建置視為您出貨內容的事實來源。

建置取用內容的記錄

每個作業執行時，具備套件感知能力的代理伺服器會記錄連往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態。相依套件的佐證資料會隨 CI 快取一起傳遞，因此從快取還原的套件仍會被計入。每個作業的 SBOM（CycloneDX 或 SPDX 格式）都附有依作業與快取分別標示的完整性狀態。Namespace 的對外連線記錄告訴您執行器連線到哪些網域；CRACI 的記錄則告訴您建置從這些網域取用了哪些套件與版本。

公平比較對外連線政策

CRACI 的政策採預設拒絕或預設允許，提供 24 個內建軟體來源預設組態；針對 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、OCI 映像檔庫，以及透過 HTTPS 與 SSH 的 Git，提供依類型定義的自訂來源；並提供明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前完成驗證、採失效即封鎖（fail closed）、拒絕未知欄位，並在違規時發出警示。

Namespace 在兩方面領先。它的建議型模式讓您能在強制執行政策前先觀察，而 CRACI 的監控模式仍在產品藍圖中。它的機密注入與代理規則，CRACI 也沒有對應功能。CRACI 的不同之處在於，它的來源是依套件生態系與通訊協定定義類型，而不是以網域清單列出；而且在政策下執行的同一個作業，也會產生其取用套件的記錄。

來源證明與監控

• 來源證明資料。API 會回傳 SBOM、網路追蹤記錄與來源證明（provenance）。CRACI 不會為來源證明簽章，也不宣稱達到任何 SLSA 等級。
• 監控已出貨的內容。受監控的 SBOM 會持續依據新漏洞重新評估，檢測結果也會跨建置與儲存庫彙整。

價格與規格

Namespace 以單位分鐘計費，在 Linux 上，一個單位是 1 vCPU 與 2 GB RAM 使用一分鐘。截至 2026 年 9 月，2 vCPU、4 GB 的 Linux 執行器在方案內分鐘數中為每分鐘 $0.002，超額為每分鐘 $0.003。Team 方案每月 $100，含 100,000 單位分鐘；Business 方案每月 $250，含 250,000 單位分鐘。Windows 以 Linux 費率的兩倍消耗分鐘數，macOS 則為十倍。用量每個作業最低計費 1 分鐘，之後以分鐘為單位進位；Namespace 的範例將 150 秒計為 3 分鐘。

CRACI 的費率為每 vCPU 分鐘 $0.002，因此 6 GB RAM 的 2 vCPU 執行器為每分鐘 $0.004，ARM64 費率相同，按秒計費，且無月費。Namespace 的每分鐘牌價較低，但每個作業有最低 1 分鐘的計費。它的標準規格為每 vCPU 2 GB RAM，CRACI 則為 3 GB，因此比較前請先對齊您的建置所需的規格。最新條款請參閱CRACI 價格方案。

哪一個適合您

以下情況較適合 Namespace

• 您需要 macOS 或 Windows 執行器。CRACI 目前僅支援 Linux；Windows 與 macOS 已列入產品藍圖。
• 您想在強制執行對外連線政策之前，先以建議型模式試行。
• 您仰賴 Bazel 遠端執行或快取磁碟區。
• 您同時執行 Buildkite agent 或雲端開發環境，並希望只與一家廠商往來。

以下情況較適合 CRACI

• 您需要從建置本身證明某個版本包含哪些內容，並附上完整性狀態。
• 您希望在同一處監控已出貨的 SBOM。
• 您需要 Cyber Resilience Act（CRA）的佐證資料。
• 您需要歐盟資料落地，CRACI 的 Enterprise 方案提供此功能。

因應 Cyber Resilience Act

Cyber Resilience Act 要求製造商掌握產品中的元件、處理其中的漏洞並保存佐證資料。Namespace 的產品是高速的 CI 與開發基礎設施。CRACI 則將企業在更廣泛的 CRA 法規遵循流程中所需的軟體供應鏈可視度與佐證資料，自動化了相當大的一部分：匯出為 CycloneDX 或 SPDX 的建置時 SBOM、漏洞追蹤，以及透過 API 取得的來源證明。請參閱CRA 佐證資料。

從 Namespace 切換到 CRACI

在您的組織中安裝 CRACI GitHub App，授予所有儲存庫或所選儲存庫的存取權，然後修改作業的執行器標籤：

runs-on: craci

一次移轉一個作業，檢查它的 SBOM 與網路追蹤記錄，並進一步了解CI/CD 整合與建置時 SBOM 產生。

關於快取、OIDC 信任政策、IP 允許清單與備援機制，請閱讀 如何切換 GitHub Actions 執行器供應商。