因應 CRA 法規遵循的功能
建置時 SBOM、漏洞追蹤，以及您的 Cyber Resilience Act（CRA）流程所需的佐證資料
SBOM 產生
CRACI 在建置過程中記錄 SBOM。能辨識套件的代理伺服器會觀察每個作業實際下載的內容，包括從 CI 快取還原的套件，而且每份 SBOM 都標示完整性狀態。您可以將其以 CycloneDX 或 SPDX 格式匯出，內含遞移相依套件與宣告的授權，確切掌握您所交付的軟體包含哪些內容。
了解更多 →漏洞追蹤
每當有新漏洞公布，CRACI 都會持續重新評估受監控的 SBOM，並彙整跨建置與跨儲存庫的發現結果。資安團隊可分級研判這些發現，並交給負責修正的團隊處理，同時支援 VEX。您向自家廠商收集的 SBOM，也會與您的建置一併受到監控。
了解更多 →CRA 佐證資料
收集 CRA 技術文件所需的佐證資料：建置時 SBOM 可以 CycloneDX 或 SPDX 格式匯出，並包含其元件中發現的漏洞；API 則會回傳 SBOM、網路追蹤紀錄與來源證明。CRACI 能自動化您的 CRA 流程所需的相當大一部分供應鏈可視性與佐證資料。
了解更多 →CI/CD 整合
CRACI 取代的是執行器，而不是 GitHub Actions。只要將 runs-on 改為 craci，您的執行結果仍會顯示在 GitHub 中。每個作業都會記錄其下載的內容，並在對外連線（egress）政策下執行；該政策會在作業開始前驗證，且失效即封鎖（fail closed）。目前支援 GitHub Actions，其他 CI 系統已列入產品藍圖。
了解更多 →CRACI 在您技術堆疊中的定位，請參閱CRACI 取代哪些工具，又能與哪些工具並用。