CRACI 與 RunsOn 比較

簡短的答案

RunsOn 是自架的 GitHub Actions 執行器，但省去了維運執行器機群的負擔。只要一個 CloudFormation stack 或 Terraform 模組就能將它部署到您的 AWS 帳戶；之後每個作業都會取得一台由您選擇任意類型的全新 EC2 執行個體，而 AWS 會依成本價計算運算費用。如果您希望執行器位於自己的雲端帳戶中，並讓運算帳單盡可能降低，特別是使用 spot 執行個體時，RunsOn 很難被超越。

CRACI 是原生處理供應鏈安全的 CI。它是相容於 GitHub Actions 的代管執行器，安全性是執行器本身的一部分，而不是額外加上的工具：CRACI 會記錄建置擷取的每個外部相依套件，在建置網路上強制執行對外連線政策，並將這份紀錄轉化為 SBOM、漏洞監控與佐證資料。兩項產品取代的都是您作業所執行的執行器，因此您只需選擇其一。

一覽比較

RunsOn 的強項

您的帳戶，您的資料。控制平面、執行器虛擬機器、S3 快取與日誌全都位於您的 AWS 帳戶中，而 RunsOn 自身的資料流僅限於授權驗證、遙測與技術支援。對於資安審查卡在「第三方執行我們的程式碼與機密」這一點的團隊，這正是 RunsOn 打造來提供的答案。CRACI 執行器目前為代管式；客戶自行託管的執行器已列入其 Enterprise 的產品藍圖。

任何執行個體，每個作業一台。runs-on 標籤決定使用哪台機器，因此作業可以要求大型的運算最佳化執行個體、GPU、本機 NVMe 儲存空間或 Windows。每個作業都會取得一台新的 EC2 執行個體，並在完成時銷毀；RunsOn 表示作業通常約 30 秒內啟動，使用暖機池（warm pool）時則不到 6 秒。

成本。RunsOn 不在 AWS 運算費用上加價，並收取固定授權費，每年約 $348（€300）起。它表示這樣比 GitHub 託管執行器便宜 7 至 12 倍。搭配可自動退回隨需執行個體的 spot 執行個體，還能進一步壓低帳單。這些是 RunsOn 自己的數據；實際數字取決於您的執行個體組合與區域。

快取與可觀測性。位於您 VPC 中、以 S3 為後端的快取取代了 GitHub 的快取，且沒有其容量上限；Docker layer 快取為內建功能，EBS 黏性磁碟（sticky disk）與 EFS 共用磁碟區則可在作業之間保留狀態。每個作業的指標與成本報告會傳送至 CloudWatch 與 OpenTelemetry。

資安附加功能。與 StepSecurity Harden-Runner 的整合，增加了對外連線監控與過濾，以及建置期間原始碼竄改的偵測，但需要 StepSecurity 企業授權。

價格與規格

單看運算費用，使用 spot 執行個體的 RunsOn 只需 CRACI 每 2 vCPU 分鐘 $0.004 的一小部分。不過，比較並不只看每分鐘價格。使用 RunsOn 時，您還要支付授權費以及執行器周邊的 AWS 服務費用，例如用於固定 IP 的 NAT 閘道，而且您的團隊必須負責整個技術堆疊：升級、AWS 配額與事件處理。CRACI 則是單一的每分鐘價格，按秒計量，無月費，並由 CRACI 運行基礎架構。目前的條款請參閱 CRACI 價格方案，更全面的取捨請參閱 代管執行器與自架執行器比較。

在速度方面，憑藉更快的硬體、更短的排隊時間與快取，CRACI 的建置速度約為 GitHub 託管執行器的兩倍。RunsOn 的速度則取決於您選擇的執行個體類型。我們尚未對兩者進行基準測試比較。

CRACI 的不同之處

建置擷取內容的紀錄

每個作業執行時，能辨識套件的代理伺服器會記錄前往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、 OCI、apt、apk 與 Git 來源，以及下載預設組合。相依套件的佐證資料會隨 CI 快取一起保存，因此從快取還原的套件依然會被計入。這也包括任何鎖定檔都沒有列出的隱藏相依性，例如由安裝 hook 或建置腳本下載的程式碼，以及基礎映像檔的 layer。每個作業都會產生 CycloneDX 或 SPDX 格式的 SBOM，每個作業與每個快取都附有完整性狀態。

掌控建置能連線到哪裡

安全群組決定 RunsOn 執行器能連線到哪些網路，但它們不知道作業應該使用哪個套件 registry。CRACI 的對外連線政策知道：預設拒絕或預設允許、24 個內建的軟體來源預設組合、可為 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、OCI registry 以及透過 HTTPS 與 SSH 的 Git 設定具型別的自訂來源，以及明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前驗證、失效即封鎖，並在違規時發出警示。由於政策只允許建置所需的連線，即使是從未見過的攻擊，也能阻擋資料外洩到建置不需要的主機。

RunsOn 上的 Harden-Runner 在一個地方更進一步：它也會監看建置期間原始碼檔案是否遭到修改，而 CRACI 沒有這項功能。

來源證明與監控

API 會回傳 SBOM、網路追蹤與來源證明。CRACI 不會簽署來源證明，也不宣稱達到任何 SLSA 等級。它會彙整跨建置與儲存庫的漏洞，並持續重新評估受監控的 SBOM。

兩個不同的資安問題

RunsOn 回答的是「誰持有我的程式碼、機密與執行器狀態？」，做法是將這些全部保留在您的 AWS 帳戶中。CRACI 回答的是另一個問題：「這次建置拉入了什麼，又連線到了哪裡？」CRACI 讓每個作業在各自隔離的虛擬機器中執行，不儲存您的原始碼，並已取得 ISO 27001 認證。稽核人員、客戶或 Cyber Resilience Act（CRA）要求您提供的，正是第二個問題的答案。

預約示範，查看您自己的一個工作流程所產生的 SBOM、網路追蹤與來源證明。

哪一個適合您

以下情況較適合 RunsOn

• 執行器必須在您自己的 AWS 帳戶中執行，緊鄰您的 VPC 資源。
• 最低的運算成本最重要，而且您能自在地在 AWS 中維運一套技術堆疊。
• 您現在就需要 Windows 執行器、GPU 執行個體或特定的 EC2 執行個體類型。
• 您的專案屬於非商業用途，RunsOn 可免費提供。

以下情況較適合 CRACI

• 您出貨的軟體必須從建置本身說明每個發布版本包含了什麼。
• 您希望以失效即封鎖、且不需額外授權的政策，限制建置能連線到哪裡。
• 您需要監控已出貨的內容，而不必在每個工作流程中加裝工具。
• 您不想自行運行 CI 基礎架構，並希望建置在歐洲的基礎架構上執行。

選擇 CRACI 會放棄什麼。位於您自己 AWS 帳戶中的執行器（已列入 Enterprise 的產品藍圖）、Windows 執行器（同樣已列入產品藍圖），以及最低的運算帳單。您得到的是一份資安與法規遵循團隊無需在管線中再加一個掃描工具就能使用的建置紀錄，而且運行在您不必自行維運的基礎架構上。

因應 Cyber Resilience Act

歐盟 Cyber Resilience Act 期望製造商了解每個發布版本包含什麼，並處理其中的漏洞，通報義務自 2026 年 9 月起適用，並於 2027 年 12 月全面適用。 自架執行器本身不會產生這些佐證資料；您必須在工作流程中加入 SBOM 與掃描工具。CRACI 則從建置紀錄產生這些佐證資料，並以 CycloneDX 或 SPDX 格式匯出 SBOM。它能將企業在更廣泛的 CRA 法規遵循流程中所需的軟體供應鏈可視性與佐證資料，自動化其中相當大的一部分。

從 RunsOn 移轉

CRACI 取代的是執行器，而不是 GitHub Actions。工作流程與 GitHub 介面維持不變，作業標籤則改為 runs-on: craci。作業可使用 Docker Engine、Buildx 與 Compose v2、相容於 GitHub 的 Ubuntu 24.04 映像檔，以及 x86-64 上的巢狀虛擬化。進一步了解 CI/CD 整合 與建置時 SBOM 產生。新創公司可以申請 新創計畫。

關於快取、OIDC 信任政策、IP 允許清單與備援機制，請閱讀 如何切換 GitHub Actions 執行器供應商。

RunsOn 與 CRACI：常見問題

價格、託管、平台與資安，依據各廠商公開的資訊回答

RunsOn 是什麼？

RunsOn 是將自架 GitHub Actions 執行器做成產品的服務。您將一個 CloudFormation stack 或 Terraform 模組部署到自己的 AWS 帳戶中，RunsOn 就會為每個作業啟動一台全新的 EC2 執行個體，並在作業結束時終止它。執行器、快取、日誌與憑證都留在您的 AWS 帳戶中。它由常駐法國雷恩的 Cyril Rohr 於 2023 年創立。

RunsOn 的費用是多少？

截至 2026 年 9 月，RunsOn 按法人實體收取固定的年度授權費：依每月啟動的執行器數量，Starter 約每年 $348（€300）起、Growth 約 $1,044（€900）、Scale 約 $2,088（€1,800）、Enterprise 約 $4,176（€3,600）。運算費用由 AWS 直接按秒計費，RunsOn 不加價。RunsOn 列出 us-east-1 的 2 vCPU x64 spot 執行個體約每分鐘 $0.0009。非商業用途免費，並提供 15 天試用。

RunsOn 比 CRACI 便宜嗎？

以運算費用而言是的，而且在 spot 執行個體上差距很大。CRACI 每 2 vCPU 分鐘收費 $0.004，而透過 RunsOn 使用 us-east-1 的 2 vCPU spot 執行個體約每分鐘 $0.0009，另加授權費。總成本還包括您的 AWS 網路與儲存費用，以及運行技術堆疊所需的時間。CRACI 在執行器上額外提供的是建置紀錄：每個作業的 SBOM、對外連線政策、來源證明資料與漏洞監控。

RunsOn 會產生 SBOM 或建置來源證明嗎？

這些不在其文件記載的功能中。RunsOn 著重於您 AWS 帳戶中的運算、快取、成本與可觀測性。CRACI 會記錄每個作業擷取的套件，包括從快取還原的套件，並產生附完整性狀態的 CycloneDX 或 SPDX 格式 SBOM。API 會回傳 SBOM、網路追蹤與來源證明。

RunsOn 能限制建置在網路上可以連線到哪裡嗎？

RunsOn 執行器位於您的 VPC 中，因此適用 AWS 安全群組與路由設定，固定的對外 IP 則來自 NAT 閘道。若要在作業內部過濾對外連線，RunsOn 整合了 StepSecurity Harden-Runner，它會為每個作業的對外流量建立基準，並可將其當作允許清單強制執行；在 RunsOn 上需要 StepSecurity 企業授權。CRACI 則在執行器本身強制執行對外連線政策：預設拒絕或允許、24 個內建的軟體來源預設組合、在作業開始前驗證，並且失效即封鎖。

我可以在自己的 AWS 帳戶中執行 CRACI 嗎？

目前不行。CRACI 執行器為代管式，運行於歐洲的基礎架構上，客戶自行託管的執行器已列入 Enterprise 方案的產品藍圖。如果執行器必須位於您自己的 AWS 帳戶中是硬性要求，RunsOn 正是為此而打造。

CRACI 支援 Windows 或 macOS 執行器嗎？

CRACI 目前在 x86-64 與 ARM64 上執行 Linux，Windows 與 macOS 已列入產品藍圖。RunsOn 提供 Windows Server 2022 與 2025 以及 GPU 執行個體；使用 RunsOn 時，macOS 作業同樣留在 GitHub 託管執行器上。

切換時需要重寫我的 GitHub Actions 工作流程嗎？

不需要。兩項產品取代的都是執行器，而不是 GitHub Actions。工作流程、觸發條件與 GitHub 介面都維持不變；在 CRACI 上，作業標籤改為 runs-on: craci。