Ansibleは中国本土で使えるか：データの国内保存、ICPと越境ルール
Ansibleはオープンソースです——重要なのは、プレイブックが走るときに制御ノード、インベントリ、Ansible Vaultのシークレットがどこに置かれるか、です。オフショアでは、そのインフラの地図とそれらのシークレットが国外に置かれます：到達性ではなく、PIPLの越境とデータ国内保存の問いです。制御ノードを中国国内で動かしましょう。
Ansibleは中国本土で使えるか
Ansibleが中国本土で「使える」かは、制御ノードが貴社のサーバーに到達できるかではありません——プレイブックが走るときに、制御ノード、貴社のインベントリ、Ansible Vaultのシークレットがどこに置かれるか、です。Ansibleはオープンソースでデーモンレスなので、貴社が運用する制御ノードから走ります；それが本質的に中国国内で動かせる能力を与えます。Ansibleの言葉で、制御ノードは「Ansible CLIツール（ansible-playbook、ansible、ansible-vaultほか）を実行するマシン」、インベントリは「管理対象ノードのリスト」——本土のインフラの地図——で、Ansible Vaultは「パスワードやキーのようなセンシティブなコンテンツを保護できるよう、変数とファイルを暗号化する」。オフショアの制御ノード——例えばオフショアの自動化プラットフォームやCIジョブの中——に保持されると、そのインベントリとそれらのシークレットは国外にあり、個人情報保護法（英語）の下で、その中のあらゆる個人データは越境移転（英語）になります；CIIOまたは大量取扱者には、中国で収集したデータはサイバーセキュリティ法（英語）（第39条（旧第37条））の下で本土に留まらなければなりません。レバーは、制御ノード、インベントリ、Vaultを中国国内で動かすことです。
これはリスクの見取り図であって判定ではありません——何をローカライズしなければならないかは、インベントリとVaultが何を帯びるか、そして管理対象ホストが誰のデータを保持するかによって変わります。当社の中国チームがAnsibleの制御ノードの国内保存を一緒に整理します →
コンプライアンス・スナップショット
- ! Ansibleはオープンソースなので、国内保存は制御ノードをどこで動かすかで決まる
- ! 制御ノードは貴社のインベントリ——本土のインフラの地図——を保持する
- ! Ansible Vaultはパスワード、キー、トークンをその制御ノードに保つ
- ! 制御ノードをオフショアで動かせば、そのインベントリとシークレットは本土を出る
- ✓ 法令適合の経路：制御ノード、インベントリ、Vaultを中国国内で動かす
Ansibleの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
Ansible自身の言葉で：制御ノードは「Ansible CLIツール（ansible-playbook、ansible、ansible-vaultほか）を実行するマシン」、インベントリは「管理対象ノードのリスト」——貴社が管理するホストの権威ある地図——である。貴社が制御ノードを動かすため、それを中国本土の中を含めてどこにでも置ける；その所在地——そしてインベントリの所在地——は貴社の判断で、以下のすべての答えを決める。 | Ansible Documentation — Basic concepts（制御ノード、インベントリ）、2026-10-13 取得 |
| Ansible Vaultは「パスワードやキーのようなセンシティブなコンテンツを保護できるよう、変数とファイルを暗号化する」。それらのシークレット——実行が注入するデプロイのパスワード、SSHキー、クラウドの認証情報、APIトークン——は、制御ノードが生きる場所に生きる。制御ノードをオフショアで動かせばその集中したシークレットの材料は国外に座り；中国国内で動かせば国内に留まる。オフショアに保持された暗号化済みのVaultも、依然として貴社のシークレットのオフショアの保管庫である。 | Ansible Documentation — Protecting sensitive data with Ansible Vault、2026-10-13 取得 |
| 重要情報インフラ運営者、または個人情報を大量に扱う取扱者には、中国で収集・生成された個人情報と重要データは中国本土内に保存しなければならず、あらゆる輸出の前に安全評価が必要。貴社の本土のインベントリとそれに到達するVaultのシークレットを保持してオフショアに座る制御ノードは、これを満たす中国本土の足場を持たない。 | 中華人民共和国サイバーセキュリティ法 第39条（旧第37条）；2026-01-01施行の2025年改正 — 2026-10-13 取得 |
| 貴社のインベントリ、Ansible Vault、実行ログの中のあらゆる個人情報——ホストの所有者、管理者アカウント、そして管理対象システムが保持するデータ——を中国本土の外の制御ノードに保持することは、PIPL（第38〜40条）の下での越境移転である：取扱者（運用者である貴社であって、Ansibleではない）が、通知を行い、個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければならない。 | 中華人民共和国個人情報保護法 第38〜40条（個人情報の越境提供）— 2026-10-13 取得 |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土のデプロイにとって、Ansibleについての決め手となる問いは、上海の制御ノードが貴社のサーバーに到達し構成できるかではありません——その制御ノードがどこに置かれ、何を保持し、それが保持するものがどんな法的根拠でそこに来たか、です。Ansibleはオープンソースでデーモンレスです：制御ノードから貴社自身が動かすので、本質的に中国国内で動かせる能力があり、フリート（管理対象群）への接続性は到達性の話題であって、貴社の構成が擁護可能かを決める部分ではありません。決め手となるのは、制御ノードが二つの集中した資産の権威ある本拠だということです。貴社のインベントリはインフラの地図です——すべての管理対象ホスト、そのアドレス、その役割。貴社のAnsible Vaultは、実行が注入するシークレットを保持します：デプロイのパスワード、SSHキー、クラウドの認証情報、APIトークン。オフショアの制御ノード——例えば、貴社が中国本土に置いたマシンではなく、オフショアの自動化プラットフォームやCIジョブの中に生きるもの——に保持されると、そのインフラの地図とそれらのシークレットは国外にあり、それらに相乗りするあらゆる個人データは、プレイブックが走るたびに国境を越えます。接続のレイテンシではなく、国内保存と越境移転が、これを決めます。
Ansibleは中国で使えるか？ ひと目で
| 決め手 | 中国本土にとって何を意味するか |
|---|---|
| オープンソースで、貴社が動かす | Ansibleはデーモンレスで、貴社が運用する制御ノードから走るので、本質的に中国国内で動かせる能力があります——制御ノードを中国本土の中に置けます。 |
| 制御ノードが何を保持するか | 制御ノードは、貴社のインベントリ——すべての管理対象ホストの地図——と、デプロイのパスワード、SSHキー、クラウドの認証情報、APIトークンを保つAnsible Vaultの、権威ある本拠です。 |
| 制御ノードがどこで動くか | 国内保存は制御ノードに従います。オフショアで——オフショアの自動化プラットフォームやCIジョブの中を含めて——動かせば、貴社のインベントリとVaultは国外に置かれます。 |
| データの国内保存 | CIIOまたは大量取扱者には、中国で収集した個人情報と重要データは中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条））——オフショアの制御ノードには満たせない義務です。 |
| 越境移転 | ホストの所有者、管理者アカウント、そして貴社のインベントリ・Vault・実行ログの中のあらゆる個人データが、オフショアに保持されると、PIPLの越境移転です（第38〜40条）：通知、個別の同意、そして移転メカニズムのいずれか一つ。 |
| 国内保存のレバー | 制御ノード、インベントリ、Vaultを中国本土内のインフラで動かせば、インフラの地図とシークレットは国内に留まります。 |
扉その一——インベントリとVaultは集中した保管庫であり、国内保存は制御ノードに従う
制御ノードが何を保持するかから始めましょう。それこそ中国の法が反応する対象だからです。Ansibleはホストにエージェントを必要とせず、自身のホスト型サービスも必要としません；Ansibleの言葉で、制御ノードは“The machine from which you run the Ansible CLI tools (ansible-playbook, ansible, ansible-vault and others).”（Ansible CLIツール（ansible-playbook、ansible、ansible-vaultほか）を実行するマシン）です。実行を可能にするすべてが、そのマシンに生きます。貴社のインベントリ——“A list of managed nodes”（管理対象ノードのリスト）——は使い捨ての設定ファイルではありません：それはインフラの権威ある地図で、貴社が管理するすべてのサーバーとネットワーク機器が、名前とアドレス付きで記されています。それと並んで、Ansible Vaultは“encrypts variables and files so you can protect sensitive content such as passwords or keys”（パスワードやキーのようなセンシティブなコンテンツを保護できるよう、変数とファイルを暗号化する）——プレイブックがフリートを構成しながら注入するデプロイのパスワード、SSHキー、クラウドの認証情報、レジストリのトークン。それは、貴社の運用上の知的財産の集中したひとかたまりが一か所に置かれているということです。貴社が重要情報インフラ運営者であるか、個人情報を大量に扱う場合、中国で収集・生成された個人情報と重要データは中国本土内に保存しなければならず、あらゆる輸出の前に安全評価が必要です——サイバーセキュリティ法（英語）のデータ国内保存のルール、第39条（旧第37条、2026-01-01施行の2025年改正で番号変更）。貴社の本土のインベントリとそれに到達するシークレットを保持してオフショアに座る制御ノードは、それを満たす中国本土の足場を持ちません。
扉その二——シークレット、ホストのアイデンティティ、そして実行が運ぶデータ
第二の扉はPIPLと、自動化の実行とともに移動する個人データです。インベントリとその周りの変数は、ホスト名以上のものを帯びます：管理対象システムの所有者と管理者、サービスアカウントのアイデンティティ、そして——実行が収集するファクト、テンプレート化するファイル、書き込むログを通じて——貴社の管理対象システムが保持する個人情報。Ansible Vaultは、そのすべてを開く認証情報を集中させます。個人情報保護法（英語）の下で、そのデータを中国本土の外の制御ノードに保持することは越境移転（英語）です（第38〜40条）：取扱者——運用者である貴社であって、Ansibleではない——が、通知を行い、移転のための個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければなりません。Vaultを暗号化し、プレイが収集するものを削ぐのは良い衛生ですが、それ自体では保管庫を移しません——オフショアに保持された暗号化済みのVaultも、依然として貴社のシークレットのオフショアの保管庫です。そして実行が貴社の本土のホストが保持するものに手を伸ばすため、それが触れる個人データも、プレイブックが実行されるたびに国境を越えて規律されます。
なぜ到達性チェックはこれを見逃すのか
「私の制御ノードは上海のサーバーに到達し構成できるか」というテストは、間違った問いに答えます。Ansibleは標準のSSHで接続するので、地球上のどこからでも本土のホストを喜んで管理します——そしてそれがまさに罠です。接続性のチューニングは、実行がどれだけ速く確実に完了するかを変えます；それは、貴社のインベントリ、Vaultの中のシークレット、実行が触れるアイデンティティが実際にどこに置かれるかを変えません。ですからフリートは中国の中から完璧に管理されているように見えつつ、そのフリートの地図とそれへのキーが依然としてオフショアの制御ノードに座っていることがあり得ます。上記の国内保存と越境の問いは、到達性のプローブには見えません——まさにプレイブックが走り続けるからです——だからこそ重要な動きは、オフショアの制御ノードを単に貴社のサーバーに到達できるようにすることではなく、制御ノード、インベントリ、Vaultを中国国内に置くことです。当社は中国の中からのAnsibleの接続性について一次情報の計測を公表しないので、ここに数字は置きません；それは主張するよりも貴社の実際の構成に照らして計測するものです。
これはリスクの見取り図であって、判定ではありません：中国国内での保存、移転メカニズム、作り直した同意フロー、あらゆる公開向けの自動化やセルフサービスポータルのためのICP備案、あるいはその組み合わせが必要かは、貴社のインベントリとVaultが何を帯びるか、どれだけか、そして管理対象システムが誰のデータを保持するかによって変わります——構築の前に専門家と確定させる価値があります。
レバー——マッピング、ローカライズ、配信
制御ノードを貴社自身が動かすため、本物の中国国内の経路があります。そして21YunBoxはいかなる種類の回避的手段も用いず、また推奨しません。
- マッピング — どのプレイブックが個人データに触れるか、Ansible Vaultが何を保持するか（デプロイのパスワード、SSHキー、クラウドの認証情報、トークン）、今日制御ノードとインベントリがどこに生きるか、国内保存の根拠、そして貴社のインベントリが本土のインフラを記述するかを棚卸しします。
- ローカライズ／ガバナンス — 制御ノード、インベントリ、Vaultを中国国内で動かし（貴社が本土に置くインフラでセルフホスト）、インフラの地図とシークレットが国内に留まるようにし；中国の自動化を国内に保ち；国境を越えるものを最小化します。
- 配信 — 法令適合の中国国内の制御ノードと、あらゆる公開向けの自動化ポータルの周りの配信を、オフショアの構成の前段に（またはその代わりに）置きます；21YunBoxが作り直しなしに中国国内のレイヤーを立ち上げます。
オフショアの制御ノードを単に貴社のサーバーに到達できるようにすることは答えではありません——貴社のインベントリとシークレットは依然としてオフショアにあり、より速く接続してもそれは変わりません。制御ノード、インベントリ、Vaultを中国国内に保つことが答えです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
Ansibleと既存のプレイブック・ロールは使い続けます。当社が加えるのは、オフショアの制御ノードがそれ自体では提供できないピース：制御ノード、インベントリ、Ansible Vaultの、合法的な中国国内の本拠です。そうすることで、貴社のインフラの地図とそれに到達するシークレットが法の求めるところで国内に留まり、その前段のあらゆる開発者アクセスや公開向けの自動化ポータルのために法令適合のICP備案済みの配信を伴います——既存の構成の周りに置かれ、再設計も、二つ目のコードベースも、Ansibleからの移行もありません。貴社がすでに運用するツールチェーンへのパートナーとして、当社の中国チームが、貴社のPIPLの越境・同意・データ国内保存の義務を、法人とパイプラインに照らして整理し、擁護可能な中国拠点に必要な中国国内の制御ノードと配信を立ち上げます。当社はいかなる種類の回避的手段も用いず、また推奨しません。
関連する読み物：
よくあるご質問
中国でAnsibleを動かせますか？
はい——Ansibleはオープンソースで、貴社が運用する制御ノードから走るので、その制御ノード、インベントリ、Ansible Vaultを中国本土内のインフラに置けます。既定で法令適合でないのは、本土のシステムを管理するために制御ノードをオフショア——例えばオフショアの自動化プラットフォームやCIジョブの中——で動かすことです：その場合、貴社のインベントリとシークレットが国外に座り、PIPLはそれを越境移転として扱い、CIIOまたは大量取扱者にはデータ国内保存が禁じます。
Ansibleが私の中国のサーバーを構成するなら、データは中国に留まるのでは？
いいえ——到達性と国内保存は別の問いです。制御ノードは本土のホストにどこからでもSSHで到達し構成できますが、貴社のインベントリ（インフラの地図）とAnsible Vaultのシークレットは、制御ノードが走る場所に生きます。そのマシンがオフショアなら、それが構成するサーバーがどこにあろうと、地図とシークレットもオフショアです。国内保存は、フリートに到達できるかではなく、制御ノード・インベントリ・Vaultがどこに生きるかで決まります。
21YunBoxはAnsibleの設定を中国で法令適合にする手助けができますか？
はい。当社の中国チームが、どのプレイブックが個人データに触れるか、Vaultが何を保持するか、そして今日制御ノードとインベントリがどこに生きるかを整理し、そのうえで制御ノード、インベントリ、Vaultを中国本土内のICP備案済みのインフラで動かす手助けをします——インフラの地図とシークレットを国内に留め、自動化の作り直しなしに。お問い合わせいただければ、貴社の個別の構成を一緒に整理します。
