GitHub Packages vs. Artifactory

Hinweis: Dieser Beitrag wurde aktualisiert, um der aktuellen Situation ab dem 1. Juni 2021 Rechnung zu tragen.

Wir haben gehört, dass es in der Community einige Verwirrung über den Dienst von GitHub gibt – GitHub Package Registry. Es ist ein Package Manager, der mit einer GitHub-Lizenz verfügbar ist und es Entwicklern ermöglicht, Software Pakete neben ihrem Quellcode zu veröffentlichen. Wir wollten klarstellen, was dies für unsere treuen Artifactory-Kunden und -Benutzer bedeutet.

GitHub ist ein langjähriger Partner (und Kunde) von JFrog, und wir sehen, dass sich die Vision von Liquid Software auf deren Open Source-Kollaborationsplattform auswirkt.

Ihr Service ist ein Schritt in Richtung des Flusses von Open Source-Code aus der “Wildnis” von GitHub in Software Pakete, die von Unternehmen auf ihrem Weg zu einer zuverlässigen, sicheren und aktuellen Produktionsumgebung verwaltet werden können.

Software Pakete gehören zu den wichtigsten Bestandteilen des Software-Lebenszyklus, so dass die Übersetzung von OSS-Software in Pakete deren Verwaltung und Kontrolle wesentlich erleichtert. Dies ist für Unternehmen von ausschlaggebender Bedeutung. Mit GitHub Packages haben wir jetzt viel mehr Package Registry-Quellen (wir nennen sie “Remote-Repositories”), die eng mit den Quell-Repos verbunden sind und die importiert, verwaltet, gescannt, mit Unternehmenssoftware kombiniert und in eine Produktionsumgebung eingebunden werden können. Wir hoffen, dass dieses neue Leistungsmerkmal es Unternehmen ermöglicht, Open Source-Software zu nutzen wie nie zuvor.

Wir begrüßen Technologien, die Entwickler produktiver machen, und wir freuen uns, dass GitHub in den Bereich der Paketverwaltung einsteigt.

Was kann dieser Package Manager leisten?

GitHub Package Registry bietet Nutzern von GitHub neben ihren versionierten Repositories für Quellcode einen zusätzlichen Package Manager. Es funktioniert sowohl als privates als auch als öffentliches Repository und Entwickler können die gleichen Anmeldedaten wie für GitHub verwenden. Support für CI wird größtenteils durch den begrenzten Bestand von GitHub actions erreicht.

Was ist der Unterschied zwischen GitHub Package Registry und JFrog Artifactory? 

Das ist eine ganz wichtige Frage – lassen Sie uns also einen kurzen Blick darauf werfen und dann einige häufig gestellte Fragen zu GitHub Packages im Vergleich zu JFrog Artifactory beantworten.

Die Unterstützung von sechs Pakettypen für Open Source durch GitHub ist ein großer Schritt in die richtige Richtung, der der Welt helfen wird, sich in Richtung flüssige Software zu bewegen. Es kann helfen, die Kette des Vertrauens von der Quelle über Artifactory bis zur Produktion für Open Source-Komponenten zu stärken. 

Aber lassen Sie uns klarstellen, was es nicht ist: Es ist kein Ersatz für Artifactory.

Es stellt nicht den nachvollziehbaren, vertrauenswürdigen Pfad für alle Ihre Artefakte dar, der für eine effektive DevOps-Pipeline notwendig ist. Es ist nicht einmal ein Ersatz für zentralisierte Repositories wie DockerHub, Maven Central, PyPi Repo oder npm.

Einige häufig gestellte Fragen

Ich verwende Artifactory. Ist GitHub Package Registry ein Konkurrenzprodukt?

Nein. GitHub Package Registry ist kein Konkurrenzprodukt zu Artifactory, da es viele Funktionen nicht unterstützt, die von modernen Binär-Repositories verlangt werden. Während GitHub Ihre Open Source-Pakete verwalten kann, liegt es an Ihnen, den Rest Ihrer Artefakte über Ihre Pipeline zu verwalten. Artifactory bleibt Ihre zuverlässige Quelle für Binärdateien, die Build-Informationen speichert, Builds durch Prüfung zur Produktionsreife bringt, auf Sicherheit scannt und die für schnelle, sichere Software-Releases erforderliche Transparenz und Einsicht in Ihre Builds bietet. 

Bietet GitHub Unternehmen eine lokale Lösung oder eine Hybrid-Lösung?

GitHub bietet über GitHub Enterprise Server, dem umfangreichsten Angebot, eine lokale Option an. Es kann mit einem Enterprise Cloud-Konto kombiniert werden, um ein hybrides System über GitHub Connect zu erstellen.

Artifactory bietet eine breite Palette von Optionen an, wobei jede Lizenzstufe sowohl in der Cloud als auch lokal verfügbar ist. JFrog ermöglicht es Ihnen auch, Ihre Hosting-Cloud-Plattform von jedem der großen Cloud-Anbieter (AWS, GCP und Azure) zu wählen oder mehr als eine für eine Multi-Cloud-Strategie zu unterhalten. GitHub hostet alle Cloud-Service-Levels (SaaS) auf einer einzigen, nicht spezifizierten Cloud-Plattform, was eine Multi-Cloud-Redundanz unmöglich macht.

Artifactory verfügt über viele weitere Funktionen, die sowohl für lokale als auch für hybride Umgebungen wichtig sind. Weitere Details finden Sie unten.

Unterstützt GitHub alle meine Pakete?

Nur sechs: npm, Docker, Maven, Gradle, NuGet und RubyGems.

Artifactory ist vollständig universell und unterstützt 30 Technologien, und es werden ständig mehr.. Dazu gehören Repositories für In-Demand-Pakettypen wie pip/twine (für Python), Go-Module, Conan (für C/C++) und Cargo (für Rust). Außerdem kann Artifactory Docker-Registries hosten, die OCI-konform sind, und unterstützt Repositories für Helm 2 and 3.

Lässt sich GitHub mit anderen Tools von Drittanbietern integrieren?

Während es zahlreiche Integrationen für GitHub gibt, sind Integrationen für GitHub-Pakete begrenzt. Artifactory hat einen umfangreichen Katalog von Integrationen für die Verwendung mit den am weitesten verbreiteten CI/CD-Servern, IDEs, Issue-Trackern und anderen DevOps-Tools und -Plattformen. Noch mehr Integrationen sind von unseren vielen Technologiepartnern verfügbar.

Wie stellt GitHub die Verwaltung der Pakete von Drittanbietern bereit?

GitHub konzentriert sich auf die in GitHub Packages vorhandenen Pakete und bietet keine klare Lösung für die Verwaltung der Pakete von Drittanbietern. Es gibt keine Option als Proxy anderer Repositories und es ist nicht klar, was Sie tun sollen, um Pakete von Drittanbietern in Ihrem Repository zu hosten.

Was kann Artifactory, was GitHub nicht kann?

Ziemlich viel. Hier sind die wichtigsten Merkmale, die Sie sich merken sollten:

1. Universell – Unterstützt 30 Pakete, viele Integrationsmöglichkeiten, REST-APIs und eine leistungsfähige Abfragesprache (AQL).
2. Rückverfolgbarkeit – Stellt die buildinfo bereit, es Ihnen ermöglicht, die Freigabe besser zu automatisieren und zu beschleunigen.
3. Flexibilität – Kann lokal oder in der Cloud gehostet (Multi-Cloud), verwaltet, selbst verwaltet oder als Teil einer hybriden Umgebung implementiert werden.
4. Robust – Proxy-Modus für viele Quellen bietet Caching für Geschwindigkeit und Schutz vor Verbindungsausfällen und Disaster Recovery.
5. Security/DevSecOps – JFrog Xray ermöglicht es Ihnen, die Geschwindigkeit Ihrer Entwickler aufrechtzuerhalten und hilft gleichzeitig, bekannte Schwachstellen aus der veröffentlichten Software herauszuhalten.
6. Enterprise-Ready – Unterstützung für Push/Pull-Replikation und Hochverfügbarkeit, mit einer Reihe von zusätzlichen Produkten, aus denen sich die JFrog Plattform zusammensetzt und die DevOps im globalen Maßstab ermöglichen.

Was sollten Sie als nächstes tun?

Artifactory ist ein ausgereiftes, dem Branchenstandard entsprechendes Artefakt-Repository, das Ihnen die Wahl der Werkzeuge und Plattformen überlässt, die Sie in Ihrer Pipeline verwenden. Es versetzt Startups und globale Unternehmen gleichermaßen in die Lage, die Entwicklungsgeschwindigkeit zu erhöhen und gleichzeitig die Sicherheit in der benötigten Größenordnung zu gewährleisten.

Aus diesem Grund vertrauen Millionen von Nutzern und Tausende von Kunden auf Artifactory, darunter die Mehrheit der Fortune-100-Unternehmen. Die Top-Marken der Welt, wie LinkedIn, Facebook, Morgan Stanley, CapitalOne, Cisco, Netflix, Uber, VMware und Spotify verlassen sich auf JFrog, um ihre Binärdateien für ihre geschäftskritischen Anwendungen zu verwalten.

Wer nutzt noch Artifactory? GitHub macht es, und zwar für die interne Entwicklung.

Artifactory ist die Schlüssellösung hinter JFrogs Software-Supply-Chain-Plattform, die Ihre digitale Transformation von Anfang bis Ende vorantreiben kann. Weitere Einzelheiten finden Sie in unserem umfangreichen Vergleich zwischen JFrog und GitHub.

Sie haben noch keine Erfahrung mit Artifactory?

Nichts kann die praktische Erfahrung mit einem kostenloses JFrog Cloud-Konto ersetzen. Geben Sie Artifactory und der JFrog Plattform eine vollständige Bewertung – für die Bedürfnisse von heute und die DevOps-Anforderungen von morgen.