GitHub Actionsは中国本土で使えるか：データの国内保存、ICP、越境ルール

GitHub Actionsの公式ドキュメントが中国について述べていること

事実	一次情報源
GitHubのドキュメントは、シングルCPUのランナーを除き、各GitHubホスト型ランナーはGitHubがホストする新しい仮想マシンであり、GitHubはLinuxとWindowsのランナーをMicrosoft Azure上の仮想マシンでホストする——中国本土の外のインフラ——と述べます。	GitHub Docs — About GitHub-hosted runners、2026-10-13取得
GitHubのドキュメントは、セルフホスト型ランナーを"a system that you deploy and manage to execute jobs from GitHub Actions on GitHub"（GitHub上のGitHub Actionsからジョブを実行するために、自分でデプロイし管理するシステム）と定義し、"You can host your own runners and customize the environment used to run jobs in your GitHub Actions workflows"（GitHub Actionsのワークフローでジョブを実行する環境を、自前のランナーをホストしてカスタマイズできる）と述べます——つまり中国国内の自己管理ランナーは、一次提供の選択肢です。	GitHub Docs — About self-hosted runners、2026-10-13取得
重要情報インフラ運営者にとって、中国本土で収集・生成した個人情報と重要データは中国本土内に保存しなければならず、送り出す前に安全評価が必要です——2026年1月1日施行の2025年改正の後、現在は第39条（旧第37条）にあるデータ国内保存のルールです。	中華人民共和国サイバーセキュリティ法 第39条（旧第37条）、2026-10-13取得
ランナー側の個人データ——実行をトリガーした者のアイデンティティとメール、そしてビルドログ——を中国本土の外のインフラに保持することは、PIPLの下での越境移転です（第38〜40条）。通知、個別の同意、そして一つの移転メカニズム（CACの安全評価、CAC標準契約、または認証）を要します。	中華人民共和国個人情報保護法 第38〜40条、2026-10-13取得

情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。

中国本土のデプロイにとって、GitHub Actionsをめぐる決め手は、上海のランナーがGitHubに到達できるか、公開の依存を取得できるか、ではありません——ワークフローが実行される瞬間に、ソースコード・シークレット・ビルドアーティファクトがどこに置かれるか、です。あらゆるワークフローの実行は、貴社の独自ソースコードをランナーにチェックアウトし、シークレット——デプロイ鍵、クラウドの認証情報、署名鍵、レジストリトークン——を実行環境に注入し、そこでビルドアーティファクトを生成します。GitHubホストのランナーでは、その作業は、本土の外のMicrosoft AzureでGitHubがホストする仮想マシン上で実行されます。凝縮されたソース、シークレット、アーティファクトは中国を離れ、中国のデプロイのビルド・デプロイのパイプラインは国境を越えます。これが擁護できるかを決めるのは、ランナーの接続性ではなく、データの国内保存と越境移転です。

GitHub Actionsは中国で使えるか：ひと目で

一つ目の扉——ソースのチェックアウトは独自コード、そしてデータ所在はランナーの動く場所に従う

ランナーが何を保持するかから始めましょう。中国の法が反応するのは、それだからです。GitHub Actionsのジョブは、安全な距離から貴社のコードに手を伸ばすのではありません。リポジトリをランナー自身のディスクにチェックアウトします——それは貴社の独自ソースの凝縮されたコピーであり、以後、ジョブが触れるすべてのものと並んで実行環境に置かれます。GitHubホストのランナーでは、その環境は、GitHub自身の言葉で“a new virtual machine (VM) hosted by GitHub”（GitHubがホストする新しい仮想マシン（VM））、“virtual machines in Microsoft Azure”（Microsoft Azureの仮想マシン）上にあります——本土の外のインフラであり、ホストランナーに中国本土リージョンは公表されていません（当然とせず、GitHubに確認する価値があります）。重要情報インフラ運営者である場合、または個人情報を大量に取り扱う場合、中国で収集・生成された個人情報と重要データは本土内に保存しなければならず、エクスポートの前には安全評価が必要です——サイバーセキュリティ法（英語）のデータ国内保存のルール、2026-01-01施行の2025年改正によって番号が振り直された第39条（旧第37条）です。貴社のソースをオフショアのVMにチェックアウトするランナーには、それを満たす本土の足場がありません。

二つ目の扉——注入されるシークレット、ビルドアーティファクト、そして貴社のデプロイのサプライチェーン

二つ目の扉は、PIPLと、実際に本土へ出荷されるものの完全性（インテグリティ）です。ワークフローの実行は、ソースよりはるかに多くを運びます。シークレット——組み込みのGITHUB_TOKEN、デプロイ鍵、クラウドと署名の認証情報、レジストリトークン——を実行環境に注入し、プッシュまたは実行をトリガーした者のユーザー名とメールアドレスを記録し、ビルドログを保持し、貴社がデプロイするアーティファクトを出力します。個人情報保護法（PIPL）の下では、そのアクターのデータとそれらのログを本土の外のインフラに保持することは、越境移転です（第38〜40条）。取扱者は、通知し、移転についての個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければなりません。シークレットの範囲を絞り、実行が記録するものを削ることは修正の一部ですが、それ自体では実行環境を移しません。そして、貴社の本土向けリリースは、ジョブを実行するランナー上でビルド・署名されるため、中国で動くものの来歴と完全性——どのソースから、どのシークレットで、どのアーティファクトを生成したか——もまた国境を越えて規律されます。接続性チェックが決して表に出さない、ソフトウェアサプライチェーンの露出です。

なぜ到達性チェックはこれを見落とすのか

「上海からランナーがGitHubに到達できるか」というテストは、誤った問いに答えます。接続性のチューニングは、ジョブがどれだけ速く確実に開始し依存を取得するかを変えますが——ソースがどこにチェックアウトされるか、シークレットがどこに注入されるか、アーティファクトがどこで生成されるかは変えません。だから、パイプラインは中国内から見れば完璧にグリーンに見えても、あらゆるチェックアウト、注入されるあらゆるシークレット、あらゆるアーティファクトは、依然としてAzureのオフショアのVMで実行されています。上記のデータ所在と越境の問いが到達性探針に見えないのは、まさにジョブが動き続けるからです——だからこそ、肝心の一手は、オフショアのランナーを単に到達可能にすることではなく、ランナーを国内で動かすことです。当社は中国内からのGitHub Actionsの接続性の一次計測を公表していないため、数値はここに載せません。それは主張するのではなく、貴社の実際のパイプラインに照らして計測すべきものです。

これは判定ではなくリスクの見取り図です。国内のランナー、移転メカニズム、作り直した同意フロー、公開向けの開発者またはデプロイのポータルのためのICP備案、あるいはその組み合わせが必要かどうかは、ワークフローが何をチェックアウトするか、どのシークレットを保持するか、そして誰がトリガーするかによって変わります——構築する前に、法務と整理する価値があります。

レバー——map・localize・deliver

本物のセルフホストランナーの経路——自分でデプロイし管理するシステム——が存在するので、現実的な国内の経路があり、21YunBoxは、いかなる種類の不正な手段も用いず、また推奨しません。

• Map（整理） — どのワークフローが独自ソースをチェックアウトするか、各実行がどのシークレットを保持するか（GITHUB_TOKEN、デプロイ鍵、クラウドと署名の認証情報、レジストリトークン）、ランナーとアーティファクトストアが今どこに置かれているか、データ所在の根拠、そしてどのパイプラインが本土のインフラへビルド・デプロイするかを棚卸しします。
• Localize / govern（国内化・統治） — ランナーを国内で動かし（自分でデプロイし管理するシステムである、セルフホストランナー）、チェックアウト、注入されたシークレット、ビルドアーティファクトを国内に留め、中国のデプロイのパイプラインを国内に保ち、国境を越えるものを最小化します。
• Deliver（配信） — 法令に適合した国内のセルフホストランナーを、オフショアのコントロールプレーンの前段に（またはその代わりに）置きます。21YunBoxが、作り直しなしに国内のレイヤーを立ち上げます。

ホストランナーを単に到達可能にすることは答えではありません——ソース・シークレット・アーティファクトは依然としてオフショアで実行され、ジョブの開始が速くなってもそれは変わりません。チェックアウト・シークレット・アーティファクトを国内に保つことが答えです。

21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ

GitHubと、すでに書いたワークフローは、そのまま使い続けられます。当社が加えるのは、ホストランナーが単独では提供できない部分です。セルフホストランナーのための、合法的な国内の置き場所——そうすれば、ソースのチェックアウト、注入されたシークレット、ビルドアーティファクトは、法が求める場所で国内に留まります——加えて、開発者アクセスと公開向けのデプロイポータルのための、法令に適合したICP備案済みの配信を、その前段に置きます。これらを既存の構成の周りに配置し、作り直しも、二つ目のコードベースも、GitHub Actionsからの移行もありません。すでに運用中のツールチェーンのパートナーとして、当社の中国チームが、PIPLの越境・同意・データ国内保存の義務を、貴社の法人とパイプラインに照らして整理し、そのうえで、擁護できる中国でのプレゼンスが必要とする国内のランナーと配信を立ち上げます。当社は、いかなる種類の不正な手段も用いず、また推奨しません。

コンプライアンス評価を依頼する（英語） →

---

関連する読み物：

• PIPLの下での越境データ移転
• 中国のサイバーセキュリティ法とデータ国内保存（英語）
• 中国のICP備案の取得方法

よくあるご質問

中国の内側から、GitHubホスト型ランナーをそのまま使ってよいですか？

到達性は決め手ではありません。GitHubホスト型ランナーでは、貴社の専有ソースがチェックアウトされ、シークレットが注入され、アーティファクトが、中国本土の外のMicrosoft Azure上でGitHubがホストする仮想マシンで生み出されます。ソース・シークレット・アーティファクトがオフショアに集約されることは、ジョブがどれだけ速く始動しようと、サイバーセキュリティ法 第39条（旧第37条）の下でのデータ国内保存の問いであり、PIPLの越境移転です。

セルフホスト型ランナーとは何で、それは所在地の問題を解決しますか？

GitHubはセルフホスト型ランナーを、GitHub Actionsからジョブを実行するために自分でデプロイし管理するシステムと定義します。自分でデプロイし管理するからこそ、どこで走らせるかを選べます：自前の中国国内のマシンで走らせれば、チェックアウト・注入されたシークレット・ビルドアーティファクトが中国本土に留まります。それがてこです——貴社のコードとシークレットをオフショアへ動かすのではなく、実行の機微な部分を中国国内に保ちます。

これはPIPLの問題ですか、それともサイバーセキュリティ法の問題ですか？

両方であり得ます。サイバーセキュリティ法の国内保存義務——第39条（旧第37条）——は、CIIOや大量取扱者にとってのソースと重要データに及び、一方でPIPL 第38〜40条は、実行が保持するアクターのアイデンティティとログを越境移転として規律します。必要かどうか、そしてどのメカニズムが必要かは、貴社の法人・データ量・誰がワークフローをトリガーするかで変わります——構築の前に専門家と決めてください。