CRACI 與 Ubicloud 比較

簡短的答案

Ubicloud 是大型雲端平台的開源替代方案，其代管 GitHub Actions 執行器是市面上最便宜的選擇之一： 截至 2026 年 9 月，2 vCPU 執行器在 premium x64 硬體上為每分鐘 $0.002，在 standard x64 或 arm64 上為 $0.00125。 如果您的目標是降低 Linux 作業的 GitHub Actions 帳單，Ubicloud 比 CRACI 便宜，而且同樣在歐洲執行。

CRACI 是原生處理供應鏈安全的 CI。它同樣是相容於 GitHub Actions 的執行器，切換也同樣只需修改一行， 但資安是執行器的一部分，而不是另外加上的工具。CRACI 會記錄建置下載的每個外部相依套件、 對建置網路強制執行對外連線政策，並將這些紀錄轉為 SBOM、漏洞監控與佐證資料。 兩種產品爭取的是同一筆執行器預算，因此您只需選擇其一。

一覽

Ubicloud 的強項

價格。Ubicloud 在租用的裸機上執行，並將省下的成本回饋給客戶。它表示其執行器可將 GitHub Actions 帳單降低四到七倍，性價比是 GitHub 託管執行器的七倍。這些是 Ubicloud 自己的數字， 但牌價支持這個方向：每 2 vCPU 分鐘 $0.00125 到 $0.002，遠低於 GitHub 與 CRACI。

硬體選擇。standard x64 執行器使用 AMD EPYC 處理器，premium 執行器使用為單執行緒速度調校的 AMD Ryzen 9 7950X3D 晶片，arm64 執行器則使用 Ampere Altra，每個 vCPU 配有一個專屬實體核心。 新帳戶預設使用 premium，premium 容量滿載時會退回 standard。規格從 2 到 30 vCPU， 映像檔以 GitHub 自己的 runner-images 範本建置。

無須修改工作流程的快取。Ubicloud 的透明快取會從靠近執行器的儲存空間提供 actions/cache、 setup actions 與 Docker 映像層快取，Ubicloud 表示速度最多可快四倍，每個儲存庫每週 30 GB。 SSH 存取則有助於除錯失敗的工作流程。

開源與隔離。Ubicloud 的程式碼以 AGPL-3.0 公開，您可以查看其運作方式或自行架設。 每個作業都會取得乾淨、用完即棄的 KVM 虛擬機器，其區塊儲存會在作業結束後刪除，並透過 GitHub 的即時（just-in-time）執行器 API 註冊； 執行器託管於德國的資料中心。

價格與規格

在每種規格上，Ubicloud 的牌價都比較低。CRACI 每 2 vCPU 分鐘 $0.004，是 Ubicloud premium x64 費率的兩倍， 也是其 standard 與 arm64 費率的三倍以上。CRACI 按秒計費、四捨五入到最接近的秒數，Ubicloud 則按分鐘計費， 因此短作業會縮小差距：一個 30 秒的作業在 CRACI 上為 $0.002，與 Ubicloud premium x64 上計費一分鐘的價格相同。 規格也不同：Ubicloud 的 x64 執行器每 vCPU 配 4 GB RAM，arm64 執行器為 3 GB，而 CRACI 的一個運算單位是 1 vCPU 搭配 3 GB。目前的條款請參閱 CRACI 價格方案。

CRACI 並不在價格上競爭。兩者都表示其執行器速度約為 GitHub 託管執行器的兩倍；CRACI 憑藉的是更快的硬體、 更短的排隊時間與快取。我們沒有對兩者進行直接的基準測試。

CRACI 的不同之處

建置下載內容的紀錄

在每個作業執行期間，能辨識套件的代理伺服器會記錄通往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、 OCI、apt、apk 與 Git 來源，以及下載預設集。相依套件的佐證資料會隨 CI 快取一起保存，因此從快取還原的套件仍會被計入。 這也包括沒有任何 lockfile 列出的隱藏相依套件，例如由安裝掛鉤或建置腳本下載的程式碼，以及基礎映像層。 每個作業都會產生 CycloneDX 或 SPDX 格式的 SBOM，並依作業與依快取標示完整性狀態：Complete、Complete with connections、 Incomplete、Unavailable 或 Not recorded。

控管建置能連線到哪裡

每個作業使用乾淨的虛擬機器，可以防止一個作業污染下一個作業，卻無法阻止遭入侵的相依套件在作業期間將您的機密傳送到某處。 CRACI 的對外連線政策可以：預設拒絕或預設允許、24 個內建軟體來源預設集、具型別的自訂來源， 以及明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前驗證，失效即封鎖，並在違規時發出警示。 由於政策只允許建置所需的連線，即使是前所未見的攻擊，也能阻擋將資料外洩到建置不需要的主機。

來源證明與監控

API 會回傳 SBOM、網路追蹤紀錄與來源證明。CRACI 不會為來源證明簽章。它會彙整跨建置與跨儲存庫的漏洞， 並持續重新評估受監控的 SBOM。

兩個不同的資安問題

Ubicloud 的資安措施回答的是「這個執行器值得託付我的作業嗎？」：隔離的虛擬機器、即時註冊、加密與公開的原始碼。 CRACI 也回答這個問題（隔離的虛擬機器、不儲存原始碼，以及 ISO 27001 認證），並進一步回答第二個問題： 「這次建置拉進了什麼，又連線到哪裡？」第二個答案，正是稽核人員、客戶或 Cyber Resilience Act（CRA）要求您提出的。

預約示範，看看您自己的工作流程所產生的 SBOM、網路追蹤紀錄與來源證明。

哪一個適合您

以下情況較適合 Ubicloud

• Linux 作業的每分鐘最低價格是主要目標。
• 您想要一個也能自行架設的開源平台。
• 您已在使用 Ubicloud 的運算或 PostgreSQL，並希望 CI 也在同一張帳單上。

以下情況較適合 CRACI

• 您交付的軟體必須直接從建置本身證明每個版本包含了什麼。
• 您想以失效即封鎖的政策，限制建置能連線到哪裡。
• 您需要監控已交付的內容，而不必在每個工作流程中加裝工具。
• 您需要將歐盟資料落地列為合約條款，這在 CRACI 的 Enterprise 方案中提供。

選擇 CRACI 時您會放棄什麼。Ubicloud 在每種規格上都更低的價格，以及其開源程式碼。 您獲得的是一份資安與法規遵循團隊都能使用的建置紀錄，管線中無須再加一個掃描工具。

因應 Cyber Resilience Act

歐盟 Cyber Resilience Act 要求製造商掌握每個版本的內容並處理其漏洞， 通報義務自 2026 年 9 月起適用，自 2027 年 12 月起全面適用。低成本執行器本身不會產生這些佐證資料； 您需要在工作流程中另外加入 SBOM 與掃描工具。CRACI 則從建置紀錄中產生佐證資料，並以 CycloneDX 或 SPDX 格式匯出 SBOM。 它能自動化企業在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料。

從 Ubicloud 移轉

CRACI 取代的是執行器，而不是 GitHub Actions。工作流程與 GitHub 介面維持不變，作業標籤改為 runs-on: craci。作業提供 Docker Engine、Buildx 與 Compose v2、相容於 GitHub 的 Ubuntu 24.04 映像檔， 以及 x86-64 上的巢狀虛擬化。進一步了解 CI/CD 整合 與建置時 SBOM 產生。新創公司可以申請 新創方案。

關於快取、OIDC 信任政策、IP 允許清單與備援，請參閱 如何切換 GitHub Actions 執行器供應商。若要在歐洲的基礎架構上執行建置， 請參閱歐洲 GitHub Actions 執行器。

Ubicloud 與 CRACI：常見問題

價格、速度、託管與資安，根據各廠商公開的資訊回答

Ubicloud 是什麼？

Ubicloud 是開源雲端平台，提供運算、代管 PostgreSQL、Kubernetes 與 GitHub Actions 執行器，建立在 Hetzner、Leaseweb 與 AWS Bare Metal 等裸機供應商之上。您可以使用其代管服務，也可以自行架設。其 GitHub Actions 執行器只要改一個標籤就能切換，每個作業都會取得乾淨、用完即棄的虛擬機器。Ubicloud 曾參加 Y Combinator 的 W24 梯次，並募得 1,600 萬美元種子輪資金。

Ubicloud 執行器的價格是多少？

截至 2026 年 9 月，2 vCPU x64 執行器在 standard 硬體上為每分鐘 $0.00125，在 premium 硬體上為 $0.002，新帳戶預設使用 premium。2 vCPU arm64 執行器為 $0.00125。按分鐘計費，每個帳戶每月可獲得 $2.50 額度，約 1,250 分鐘。Ubicloud 的行銷頁面另標示 standard 執行器每分鐘 $0.0010 起；此處數字取自其價格文件。

Ubicloud 比 CRACI 便宜嗎？

是的。CRACI 在 x86-64 與 ARM64 上同樣收取每 2 vCPU 分鐘 $0.004。Ubicloud 的 2 vCPU 執行器在 premium x64 上為 $0.002，在 standard x64 與 arm64 上為 $0.00125。CRACI 按秒計費，Ubicloud 按分鐘計費，這會縮小短作業的差距：一個 30 秒的作業在 CRACI 上為 $0.002，與 Ubicloud premium x64 上計費一分鐘的價格相同。CRACI 在執行器上額外提供的是建置紀錄：每個作業一份 SBOM、對外連線政策、來源證明資料與漏洞監控。

Ubicloud 比 CRACI 快嗎？

Ubicloud 表示其執行器速度是 GitHub 託管執行器的兩倍；CRACI 憑藉更快的硬體、更短的排隊時間與快取，執行建置的速度也約為 GitHub 託管執行器的兩倍。我們沒有對兩者進行直接的基準測試，因此請在兩者上執行相同的工作流程並加以比較。

Ubicloud 會產生 SBOM 或建置來源證明嗎？

不在其文件記載的功能中。Ubicloud 的執行器著重於價格、效能與作業隔離。CRACI 會記錄每個作業下載的套件（包括從快取還原的套件），並產生附完整性狀態的 CycloneDX 或 SPDX SBOM。API 會回傳 SBOM、網路追蹤紀錄與來源證明。

Ubicloud 能限制建置在網路上可連線的對象嗎？

Ubicloud 的 GitHub Actions 文件涵蓋隔離的虛擬機器、即時（just-in-time）執行器註冊與中繼資料日誌保存，但其中沒有針對執行器作業的對外連線政策。CRACI 在執行器上強制執行對外連線政策：預設拒絕或允許、24 個內建軟體來源預設集、於作業開始前驗證，且失效即封鎖。

作業在哪裡執行？資料能留在歐盟境內嗎？

Ubicloud 將其 GitHub Actions 執行器分配在德國的各資料中心。CRACI 在歐洲的裸機基礎架構上執行建置，Enterprise 方案提供歐盟資料落地。CRACI 不會儲存您的原始碼；原始碼只在建置期間於作業虛擬機器中處理。

切換時需要改寫我的 GitHub Actions 工作流程嗎？

不需要。兩種產品取代的都是執行器，而不是 GitHub Actions。工作流程、觸發條件與 GitHub 介面都維持不變；在 CRACI 上，作業標籤改為 runs-on: craci。