Auth0は中国本土で使えるか：アイデンティティのデータ国内保存、PIPL、二つの扉
Auth0はホスト型のアイデンティティプロバイダーで、ユーザーのアイデンティティ・認証情報・ログイン記録を、オフショアのテナントリージョン——米国・EU・英国・オーストラリア・日本・カナダ、または20リージョンのPrivate Cloudリスト——に保存し、そのどれも中国本土にはありません。そのため貴社の中国ユーザーのアイデンティティデータはPIPLの越境移転です。二つの扉を、コンプライアンス起点で読み解きます。
Auth0は中国本土で使えるか
中国本土のユーザーにAuth0を使えるかは、速度ではなくまずデータの国内保存の問いです。Auth0はホスト型のアイデンティティプロバイダーで——アプリケーションが認証に用いるアカウント・認証情報・プロフィール・ログイン記録を保持します——ので、決め手はそのアイデンティティデータがどの国に保存されるかです。
テナント作成時にリージョンを選びますが、Auth0のリージョンはすべてオフショアに置かれます。Public Cloudは米国・EU・英国・オーストラリア・日本・カナダで動き、最も地理的に柔軟な選択肢であるAWS上のPrivate Cloudでさえ「完全にデプロイ可能」なのは20リージョンのリスト——オーストラリア、バーレーン、ブラジル、カナダ、フランス、ドイツ、香港、インド、インドネシア、アイルランド、日本、メキシコ、シンガポール、南アフリカ、韓国、スウェーデン、タイ、UAE、英国、米国——であり、そのどれ一つとして中国本土にはありません。したがって貴社の中国ユーザーのアイデンティティとサインイン記録は国外に保持されます：PIPLが規律する個人情報の越境移転（英語）であり、通知・個別の同意・移転メカニズムを、そしてCIIOや大量取扱者には中国国内保存を要します。サインインがそのオフショアリージョンから応答されるため、認証のラウンドトリップも国境を越えます。下の表はAuth0自身の記述と、それが引き起こすルールです。
これは判定ではなくリスクの見取り図です——何を負うかはデータ量、役割、アイデンティティデータのセンシティブさで変わります。当社の中国チームがAuth0のリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! 中国から到達できるが、各サインインはオフショアのテナントリージョンから応答される——認証のラウンドトリップが国境を越える
- ! 選んだオフショアリージョン（米国・EU・英国・豪州・日本・カナダ）にアイデンティティ・認証情報・ログインログを保存する
- ! そのアイデンティティデータが中国を出ることは、PIPLが規律する個人情報の越境移転
- ✕ 中国本土のテナントリージョンがない——Private Cloudの20リージョンのAWSリストにも一つもない
- ✓ 法令に沿った、ICP備案済みの中国国内からの配信経路はある——作り直しなし、Auth0からの移行なし
Auth0の公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Auth0自身の言葉で、「AWS上のPrivate Cloudは以下のリージョンに完全にデプロイ可能：オーストラリア、バーレーン、ブラジル、カナダ、フランス、ドイツ、香港、インド、インドネシア、アイルランド、日本、メキシコ、シンガポール、南アフリカ、韓国、スウェーデン、タイ、UAE、英国、米国」——そしてそのどれも中国本土にはない（最寄りの香港も、ICPとデータ国内保存の目的では本土の外）。Auth0の標準Public Cloudのリージョン——米国・EU・英国・オーストラリア・日本・カナダ——も同様に中国本土の所在地を含まない。 | Auth0 Docs — Private Cloud on AWS（デプロイ可能なリージョン、2026-10-07 取得） |
| Auth0は「AWS上のPrivate Cloudでは、データが保存されるリージョンを貴社が選ぶ」と述べる——そしてそのデータは個人情報だ：ユーザーのアイデンティティ、認証情報、プロフィール、グループ所属、認証ログ。選択肢に中国本土のオプションがないため、中国のユーザーから収集したデータは、選んだオフショアリージョンへと国を出る。 | Auth0 Docs — Private Cloud on AWS（リージョン選択、2026-10-07 取得） |
| オフショアに保持されるアイデンティティデータは、中国の個人情報保護法（PIPL）（英語）の下での越境移転である。個人情報の取扱者——Auth0ではなく、その顧客である貴社——は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ：CACの安全評価、CAC標準契約、または認証——を満たさなければならない。 | PIPL 第3章 第38〜43条（個人情報の越境提供） |
| アイデンティティプロバイダーはしばしばセンシティブ個人情報——多要素認証に使う生体要素、金融口座の識別子、14歳未満の未成年のデータ——を扱う。PIPLはセンシティブ個人情報の取り扱いを、特定され十分に必要な目的のためにのみ、個別の同意とともに認め、それらのデータ型をオフショアのアイデンティティストアに保持するハードルを上げる。 | PIPL 第28〜29条（センシティブ個人情報） |
| CIIOまたは大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければならない（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）。Auth0は中国本土リージョンを公表していないため、中国ユーザーのアイデンティティデータを中国の地に留める唯一の方法は、そのアイデンティティと保存を本土内のインフラで運用することであり——それを合法に立ち上げることがICP備案を視野に入れさせる。 | PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条）（データ国内保存） |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
Auth0が中国本土で「使える」かは、パフォーマンスの問いである前に、データの国内保存の問いです。Auth0はホスト型のアイデンティティプロバイダーです。アプリケーションが認証に用いるアカウント・認証情報・プロフィール・ログイン記録を保存し——それを、貴社が選ぶテナントリージョンに保持します。そのどれもが中国本土の外に置かれます。Auth0上の中国向けアプリは到達できても、各サインインはオフショアから応答され、それが貴社の中国ユーザーのアイデンティティデータを、中国の法が規律する越境移転に変え、中国国内のプレゼンスに必要な届出のための本土の足場を貴社に残しません。これが二つの扉であり、Auth0はデータがどこに存在するかを自身の言葉で文書化しています。
中国でのAuth0：ひと目で
| 決め手 | Auth0自身の言葉では |
|---|---|
| アイデンティティが存在する場所 | テナントデータは、テナント作成時に選んだリージョンに保存されます。Public Cloudは米国・EU・英国・オーストラリア・日本・カナダで動き、AWS上のPrivate Cloudは20リージョンのリストにわたり“fully deployable”（完全にデプロイ可能）です。中国本土の内側にリージョンはありません。 |
| リージョンは貴社が選ぶ | “With Private Cloud on AWS, you choose the region where your data is stored”（AWS上のPrivate Cloudでは、データが保存されるリージョンを貴社が選ぶ）——しかしその選択肢に中国本土のオプションはないので、中国ユーザーのデータはオフショアに保存されます。 |
| 保持するデータ | アイデンティティ、認証情報、プロフィール、グループ所属、認証ログ——PIPLの個人情報であり、その一部（多要素認証の生体要素、未成年のデータ、金融識別子）はセンシティブ個人情報です。 |
| 越境移転 | 中国ユーザーのアイデンティティデータが本土を出ることは、個人情報の越境移転です。取扱者——Auth0ではなく貴社——は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つをクリアしなければなりません。 |
| 提供と国内保存 | 公開向けの本土サイトは依然として中国国内のホスティングに紐づくICP備案を要し、CIIOまたは大量取扱者は中国の個人情報を本土に保存しなければなりません——そのいずれも、オフショアのAuth0リージョンは提供しません。 |
扉その一——Auth0は貴社の中国ユーザーのアイデンティティをオフショアに保持する
Auth0は中国本土の内側で動いておらず、どこで動くかについては率直です。テナント作成時にテナントリージョンを選び、その選択肢はすべてオフショアです。Public Cloudは米国・EU・英国・オーストラリア・日本・カナダで動き、Auth0の最も地理的に柔軟なデプロイであるAWS上のPrivate Cloudでさえ、“fully deployable in the following regions: Australia, Bahrain, Brazil, Canada, France, Germany, Hong Kong, India, Indonesia, Ireland, Japan, Mexico, Singapore, South Africa, South Korea, Sweden, Thailand, United Arab Emirates (UAE), United Kingdom, USA.”（以下のリージョンに完全にデプロイ可能：……）です。そのどれ一つとして中国本土にはなく——最寄りの香港も、ICPとデータ国内保存の目的では本土の外に置かれます。
それが、ユーザーのアイデンティティがどこに存在するかを決めます。Auth0は個人情報——アカウント、認証情報、プロフィール、グループ所属、認証ログ——を保持し、自身の言葉で*“you choose the region where your data is stored.”*（データが保存されるリージョンを貴社が選ぶ）とします。ユーザーが中国にいるとき、そのリージョンはオフショアなので、彼らのアイデンティティデータは国を出ます。中国の個人情報保護法（PIPL）（英語）の下では、これは越境移転です。個人情報の取扱者——Auth0ではなく、その顧客である貴社——は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）をクリアしなければなりません。アイデンティティプロバイダーが扱うものの一部は センシティブ 個人情報——多要素認証に使う生体要素、金融口座の識別子、14歳未満の未成年のデータ——であり、PIPLはこれを特定され必要な目的のためにのみ、個別の同意とともに認め、オフショアに保持するハードルをさらに上げます。
扉その二——本土リージョンがない、だから中国国内の国内保存もICPの足場もない
データを中国に留めることがもう一つの扉で、ここでAuth0の地理は尽きます。重要情報インフラ運営者または大量取扱者の場合、本土で収集した個人情報は本土に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）。Auth0は中国本土リージョンを公表していないので、そのアイデンティティデータを中国の地に留める場所がAuth0上にはありません。中国国内のアイデンティティストア——そしてその前段の公開サイト——を立ち上げることは、国務院令第292号と工業・情報化部令第33号の下でのICP備案を視野に入れさせ、それは本土の内側に物理的に置かれたホスティングリソースに紐づかなければなりません。「すでにAuth0で動かしている」ことは、どちらの扉も越えません。中国に到達することは、そこにデータを保存してよいことや、そこで公開サイトを運用してよいことと同じではありません。
到達できることは、法令適合と同じではない
Auth0は中国でブロックされていません——本土のブラウザは到達でき、サインインページは読み込まれます。しかし到達性は配信の問題であって、コンプライアンスの問いではありません。ログインのラウンドトリップはオフショアのテナントリージョンから応答され、どれだけネットワークを調整しても、アイデンティティデータがどの国に保存されるかは変わりません。だからこそ「読み込まれるから大丈夫」はリスクを見落とします。中国向けのAuth0設定におけるリスクは、ユーザーがサインインできないことではなく——サインインが彼らのアイデンティティデータを国境を越えて動かし、中国国内の国内保存やICPの足場を欠いたまま貴社を残すことです。
これは判定ではなくリスクの見取り図です。越境移転の義務、データローカライゼーションの義務、ICP備案、あるいはその三つすべてに直面するかは、何を提供するか、どれだけの個人情報を保持するか、それがどれだけセンシティブか、ユーザーが誰かで変わります——構築の前に専門家と確定させる価値があります。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
Auth0の上に構築し続けます。本土リージョンを持たないホスト型アイデンティティプロバイダーが貴社に委ねているピース——既存スタックの前段に置く、ICP備案済みの中国国内からの配信——を当社が加えます。作り直しも、二つ目のコードベースも、Auth0からの移行もありません。当社の中国チームが、貴社の法人・データ量・アイデンティティデータのセンシティブさに照らして越境とデータの国内保存の義務を整理し、中国国内からの配信と、法が貴社の中国ユーザーのアイデンティティデータを本土に留めることを求める場合には中国国内での保存——合法な中国プレゼンスに必要なもの——を立ち上げ、一方でAuth0は認証を続けます。
関連する読み物：
よくあるご質問
Auth0は中国ユーザーのアイデンティティデータを中国に保存しますか？
いいえ。テナント作成時にリージョンを選びますが、Auth0のリージョンはすべてオフショアです——Public Cloudは米国・EU・英国・オーストラリア・日本・カナダ、AWS上のPrivate Cloudはオーストラリアから米国までの20リージョンのリスト。そのどれも中国本土にはありません。したがって貴社の中国ユーザーのアイデンティティ・認証情報・ログイン記録は国外に保存されます。
中国でAuth0を使うのは違法ですか？
本質的に違法ではありません。リスクは個人情報の越境移転であり、PIPLは、通知し、個別の同意を取得し、移転メカニズムのいずれかを満たせばこれを認めます。その負担の重さは量と役割に応じて増減します——CACの2024年3月の越境規則の下では、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証のいずれも免除され、一方でCIIOや大量取扱者は中国国内保存の義務に直面します。一律の禁止ではなく、専門家と確認すべきリスクとして扱ってください。
21YunBoxはAuth0の設定を中国で法令適合にする手助けができますか？
はい。当社の中国チームが、貴社のデータ量と役割について越境とデータの国内保存のリスクを評価し、法令に沿ったICP備案済みの中国国内からの配信を——そして法が貴社の中国ユーザーのアイデンティティデータを本土に留めることを求める場合は中国国内での保存も——立ち上げ、一方でアプリはAuth0で認証を続けます。お問い合わせいただければ、個別のケースを一緒に整理します。
