Homebrewは中国本土で使えるか：データの国内保存、ICP、越境のルール
Homebrewの公開formulaeはオープンソースなので、到達性は本当の問いではありません。国内保存とサプライチェーンの問いは、既定でオフショアのGit／アーティファクトホストに置かれる貴社のプライベートtap——内部ツール、インストールロジック、コンパイル済みbottle——です。レバーは、tapとbottleストアを中国国内でセルフホストすること。
Homebrewは中国本土で使えるか
Homebrewの公開formulaeはGitHub上のオープンソースなので、中国本土のマシンがbrew installを実行できるかは到達性の事柄であって、コンプライアンスの問いではありません。国内保存とサプライチェーンの問いは、貴社のプライベートtap——内部ツール・インストールロジック・時には資格情報を記述するGitリポジトリ——と、中国のビルドが取得するコンパイル済みbottleです。既定でそれらはオフショアのGit／アーティファクトホストに置かれます。ここは慎重に捉えてください。リスクは独自のサプライチェーンであって、オープンソースのカタログではありません。
Homebrew自身のドキュメントがレバーを具体化します。tapは"can be created by anyone"（誰でも作成できる）とされ、"is usually a Git repository available online, but you can use anything as long as it's a protocol that Git understands, or even just a directory with files in it"（通常オンラインのGitリポジトリだが、Gitが理解できるプロトコルでありさえすれば何でもよく、ファイルの入ったディレクトリでも構わない）とされ——そしてtapは自分のbottleを配信できます。bottleのルートは"optionally contains the URL root used to determine bottle URLs"（bottleのURLを決めるために使うURLルートを任意に含む）からです。したがってプライベートtapを自前の中国国内のGitリポジトリでホストし、そのbottleを中国国内のアーティファクトストアに保てます。そのプライベートtapやそのbottleが個人情報を持つ場合、それをオフショアに置くことはPIPLの下での越境移転（第38〜40条）であり、CIIOや大量取扱者にはデータが中国にとどまらなければなりません（サイバーセキュリティ法（英語）第39条（旧第37条））。中国本土の開発者が到達する中国向けのパッケージポータルは、加えてICP備案義務を負います。
これはプライベートな半分についての判定ではなくリスクの見取り図です——Homebrewは動きますし、どの義務が効くかは貴社の法人・データ量・tapが実際に持つもので変わります。当社の中国チームがリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! Homebrewの公開formulaeはGitHub上のオープンソース——到達性は軸ではない
- ! プライベートtapは内部ツールのインベントリとインストールロジックをコード化する——独自
- ! 既定ではプライベートtapとそのコンパイル済みbottleはオフショアのGit／アーティファクトホストに置かれる
- ! そのオフショアのプライベートtapを取得する中国ビルドは、サプライチェーンを国境の向こうで走らせる
- ✓ プライベートtapを中国国内のGitリポジトリとbottleストアでセルフホストする——国内にとどまる
Homebrewの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Homebrewのtapは、貴社自身で作ってホストするGitリポジトリ——それが中国国内のレバー。Homebrewのtap作成ドキュメントは、tapが"is usually a Git repository available online, but you can use anything as long as it's a protocol that Git understands, or even just a directory with files in it,"（通常オンラインのGitリポジトリだが、Gitが理解できるプロトコルでありさえすれば何でもよく、ファイルの入ったディレクトリでも構わない）とし、tapは"can be created by anyone to provide their own formulae, casks and/or external commands to any Homebrew user."（誰でも作成でき、自前のformulae・cask・外部コマンドを任意のHomebrewユーザーに提供できる）とする。既定のtapコマンドは"assumes a repository on GitHub,"（GitHub上のリポジトリを前提とする）が、"the two-argument form accepts any URL supported by Git"（2引数の形式はGitがサポートする任意のURLを受け付ける）——したがってプライベートtapは、オフショアのホストではなく自前の中国国内のGitリポジトリに置ける。 | Homebrew — How to Create and Maintain a Tap, and Taps（docs.brew.sh）、2026-10-13 取得 |
bottleは貴社のコンパイル済みバイナリであり、tapは選んだ保存ルートから配信できる。Homebrewはbottleを端的に定義し——"Bottles are simple gzipped tarballs of compiled binaries"（bottleはコンパイル済みバイナリの単純なgzip圧縮tarball）——そのbottleのDSLは"optionally contains the URL root used to determine bottle URLs,"（bottleのURLを決めるために使うURLルートを任意に含む）とし、それは"useful for taps that wish to provide bottles for their formulae."（自分のformulae向けにbottleを提供したいtapに有用）とする。既定ではHomebrew自身のコアbottleはGitHub Packages（オフショア）から配信されるが、bottleのroot_urlは貴社が設定するものなので、プライベートtapのアーティファクトストアは中国国内に置ける。 | Homebrew — Bottles（docs.brew.sh）、2026-10-13 取得 |
| プライベートtapやそのbottleがオフショアにあり個人データを持つ場合、それは越境移転。プライベートtapのformulaeは資格情報・設定・テストフィクスチャの記録を埋め込みうる。そのコンテンツが個人情報で、オフショアのGitやアーティファクトホストに置かれるとき、それを国外へ動かすことはPIPL第38〜40条の下での越境移転である——通知、個別の同意、そして移転メカニズム（CACの安全評価、CAC標準契約、または認証）を要する。義務はHomebrewではなく、取扱者である貴社に課される。 | PIPL第38〜40条（データ越境メカニズムと個別の同意）、2026-10-13 取得 |
| CIIOや大量取扱者には、中国で生成した個人情報と重要データを中国本土内に保存する義務がある。サイバーセキュリティ法 第39条（旧第37条）——2025年の改正が2026年1月1日施行で、データ国内保存の条文を第37条から第39条へ番号変更しただけで、実質は不変——は中国本土内保存を求め、いかなる国外移転の前にも安全評価を要する。オフショアにホストされたプライベートtapとbottleストアは、それらが持つ規制対象データについて、この義務を構造的に満たせない。セルフホストの中国国内tapとアーティファクトストアは満たせる。 | サイバーセキュリティ法 第39条（旧第37条）、2026-01-01 施行、2026-10-13 取得 |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土のエンジニアリングチームにとって、Homebrewについてまず正直に片づけるべきは、問いが何ではないかです。Homebrewの公開formulaeとcaskはオープンソースで、GitHub上のGitリポジトリで公開されています。上海のビルドマシンが brew install を実行してコミュニティのパッケージを取得できるかは運用上の事柄——ミラーやキャッシュが答えになり——コンプライアンスの問いではありません。コンプライアンスの問いは一層内側、到達性チェックが決して届かない半分にあります。すなわち貴社のプライベートtapです。tapは自前のformulaeとcaskを配布するHomebrewの単位であり、プライベートなものは貴社の内部ツールをコード化します——中国のビルドとプロビジョニングがどの独自ツールを、どのバージョンで、どこから、どの手順でインストールするか、そして時にはそれらを取得するための資格情報まで。その隣にあるのがbottleストア：ビルドが取得するコンパイル済みバイナリ（bottle）です。そのプライベートtapとbottleストアが貴社のソフトウェアサプライチェーンであり、既定ではホストした場所——多くのチームにとってはオフショアのGitホストとオフショアのアーティファクトストア——に置かれます。その独自コードとアーティファクトがどこにとどまり、中国のビルドが毎回何を国境の向こうから取得するかが、問いのすべてです——そしてHomebrewのtapは自分でホストするGitリポジトリにすぎないため、それを決めるのは貴社です。
ここは慎重に捉えてください。Homebrewの公開カタログはオープンソースで、それ自体に国内保存の問題はありません。これは brew install についての大げさなデータ国内保存の主張ではありません。中国のビルドやプロビジョニングのパイプラインが依存するプライベートなtapとbottleストアについての、狭く具体的な主張です。
中国でのHomebrew：ひと目で
| 決め手 | Homebrew自身の言葉では——そして中国の法では |
|---|---|
| 公開formulaeはオープンソース——それは軸ではない | Homebrewの公開formulaeとcaskはGitHub上のオープンソースです。ドキュメントは、既定の“one-argument form assumes a repository on GitHub”（1引数の形式はGitHub上のリポジトリを前提とする）一方、“the two-argument form accepts any URL supported by Git”（2引数の形式はGitがサポートする任意のURLを受け付ける）と注記します。コミュニティのパッケージの取得は到達性とミラーの問いであり——運用上は有用ですが、コンプライアンスのリスクが宿る場所ではありません。 |
| プライベートtapは独自のサプライチェーン | 到達性チェックが決して見ない、特徴的な半分です。プライベートtapは、貴社の内部ツールを記述するGitリポジトリ——中国のビルドがどの独自ツールを、どのバージョン・どのソースで、どのインストールロジックで、時には取得のための資格情報や設定とともに入れるか——です。これは営業秘密レベルのサプライチェーンの詳細であり、そのコンパイル済みbottleは貴社自身のバイナリです。どこに置かれるかは、速度ではなく国内保存の問いです。 |
| 既定ではオフショア | 既定では、プライベートtapはオフショアのGitホストに、そのbottleはオフショアのアーティファクトストアに置かれます。参考までに、Homebrew自身のコアbottleはGitHub Packagesから配信されます。したがって、貴社独自のformulae・ビルドロジック・バイナリ——そしてformulaeが持つあらゆる資格情報——は、別の場所に置かない限り国外にとどまります。 |
| 中国のビルドは国境の向こうから取得する | 中国本土のビルドやプロビジョニングの実行が、プライベートtapを解決し、そのbottleをオフショアのホストからダウンロードすると、貴社の中国デプロイの依存関係サプライチェーンは毎回国境を越えます——「パッケージを解決できるか」というチェックでは測れない、独自素材の由来・完全性・国内保存の問いです。 |
| 国内保存と越境 | そのプライベートtapやそのbottleが個人情報や規制対象の素材を持つ場合、それをオフショアのホストに置くことはPIPL第38〜40条の下での越境移転です——通知、*個別の*同意、そして移転メカニズム（CACの安全評価、CAC標準契約、または認証）。重要情報インフラ運営者や大量取扱者には、サイバーセキュリティ法（英語）第39条（旧第37条）が、中国で生成した個人情報と重要データを中国本土内に保存することを求めます。 |
| セルフホストがレバー | tapは“just a Git repository”（ただのGitリポジトリ）なので、法令に沿ったレバーは単純です。プライベートtapを自前の中国国内のGitリポジトリでホストし、そのbottleを中国国内のアーティファクトストアから配信する（tapはbottleの root_url を自ら設定できます）。これにより独自コード・ビルドロジック・バイナリは中国本土内にとどまり、中国のサプライチェーンは中国国内に保たれます——既に運用している構成の前段に置く21YunBox Optimizerです。 |
プライベートtapが実際に持つもの——そしてなぜそれが軸なのか
Homebrewのtapは、アプリケーションのデータベースのようなデータセットではありません。ソフトウェアサプライチェーンの記述であり、だからこそ速度ではなく国内保存の問いなのです。Homebrewのドキュメントは、tapが貴社自身で作ってホストするものだと明言しています。tapは”can be created by anyone to provide their own formulae, casks and/or external commands to any Homebrew user,“（誰でも作成でき、自前のformulae・cask・外部コマンドを任意のHomebrewユーザーに提供できる）とされ、“a tap is usually a Git repository available online, but you can use anything as long as it’s a protocol that Git understands, or even just a directory with files in it.”（tapは通常オンラインのGitリポジトリだが、Gitが理解できるプロトコルでありさえすれば何でもよく、ファイルの入ったディレクトリでも構わない）とされています。brew tap コマンドは、ドキュメントの言葉では”adds repositories that Homebrew can use for formulae, casks and external commands.”（Homebrewがformulae・cask・外部コマンドに使えるリポジトリを追加する）のです。
企業にとって、機微さが宿るのはプライベートなtapです。そのformulaeとcaskは貴社の内部ツールを列挙します——中国のビルドとプロビジョニングのパイプラインが入れる独自ツール、そのバージョン、取得元のURL、そして正確なインストール手順——これらを合わせると、貴社のシステムがどう構築されているかについての営業秘密レベルの詳細になります。formulaeとcaskは日常的に設定を、時には内部のダウンロードソースに到達するための資格情報やトークンを持ちます。そしてtapのbottle——Homebrewが端的に定義するとおり”Bottles are simple gzipped tarballs of compiled binaries”（bottleはコンパイル済みバイナリの単純なgzip圧縮tarball）——は貴社自身のコンパイル済み内部ソフトウェアです。tapはそのbottleを、貴社が選んだ保存場所から配信することさえできます。bottleのDSLは”optionally contains the URL root used to determine bottle URLs”（bottleのURLを決めるために使うURLルートを任意に含む）とされ、それは”useful for taps that wish to provide bottles for their formulae”（自分のformulae向けにbottleを提供したいtapに有用）です。したがって国内保存の見取り図には二つの層があります：tap内の独自サプライチェーンの記述と、それが指すコンパイル済みアーティファクトです。
扉：サプライチェーン、国内保存、越境、そしてICP
中国のビルドを、オフショアに置かれたプライベートtapとbottleストアに向けると、最初のリスクが開きます——しかもそれはサプライチェーンのリスクです。貴社の中国デプロイの依存関係サプライチェーンは、今や国境を越えて走ります。ビルドやプロビジョニングのたびに、中国本土のインフラがオフショアのtapを解決し、オフショアのアーティファクトホストからバイナリをダウンロードします。これは、どの独自コードが、どんな由来と完全性で貴社の中国システムに入り、どこに保存されるか——「パッケージを解決できるか」というチェックでは一切見えないこと——の問いです。
そのプライベートtapやそのbottleが個人情報——人に紐づく資格情報、連絡先データを含む設定、実データを含むテストフィクスチャ——を持つ場合、それをオフショアのホストに置くことは越境移転（数据出境）です。義務は取扱者である貴社に課されます：PIPL第38〜40条は、そのようなデータをオフショアへ送るために移転メカニズムと個別の同意を求めます。そして貴社の組織が重要情報インフラを運営する、または個人情報を大規模に取り扱う場合、サイバーセキュリティ法（英語）第39条（旧第37条——2025年のサイバーセキュリティ法改正が2026年1月1日施行で、データ国内保存の条文を第37条から第39条へ番号変更しただけで、実質は不変）は、中国で生成した個人情報と重要データを中国本土内に保存することを求めます。ここは慎重に捉えてください。プライベートtapでは、個人情報の含有は中心的というより付随的であることが多く——主なリスクは独自コードと資格情報で、国内保存の義務は個人データが実際に存在する場合に効いてきます。
もう一つの扉は条件付きです。tapの周りに中国向けのサーフェス——中国本土の開発者がオープンなインターネット越しに到達する内部パッケージポータルやセルフサービスのアーティファクトサイト——を立てると、そのサーフェスはインターネット情報サービスであり、中国本土のホスティングに紐づくICP備案（备案）義務を負います。ビルドインフラがプライベートに消費するtap自体はこれを単独では発動させません。公開向けのものは発動させうります。
なぜ到達性チェックはこれを見落とすのか
中国本土内からのプローブは、brew install を実行し、パッケージのダウンロードを眺め、「動く」と結論できます。その答えは的外れです。リスクは、クライアントが解決して取得できるか——それはミラーやキャッシュで片づく——ではありません。プライベートtapとそのbottleがどこに置かれ、中国のビルドがそれらを取得するとき何が国境を越えるかです：tap内の独自ツールインベントリとインストールロジック、そのformulaeが持ちうる資格情報、bottleストア内のコンパイル済みバイナリ。到達性テストはそのいずれも見ません。内部サプライチェーンがオフショアのGitホスト上のリポジトリに記述されていること、コンパイル済みアーティファクトがオフショアのストアに置かれていること、あるいは個人データが相乗りしたかどうかを、それは教えてくれません。
パッケージツールに特有の罠があります。公開レジストリを単に到達可能にすること——コミュニティのパッケージが速くインストールできるようミラーやキャッシュを立てること——は、国内保存には何もしません。プライベートなtapとアーティファクトは依然としてオフショアだからです。オープンソースのカタログをミラーすることと、独自のサプライチェーンを中国国内に保つことは、別のことです。それが、対手には出せない問いの後半であり、単にインストールを速くするのではなく——プライベートtapとbottleストアを中国国内に保つことが答えである理由です。
法令に沿った経路——map・localize・deliver
中国本土のチーム向けにプライベートHomebrew tapを運用する、法令に沿った道があります。そしてtapはただのGitリポジトリで、bottleは貴社が選ぶURLルートから配信できるため、それは既に使っているツールの上に乗ります——作り直しも、Homebrewからの移行もありません。
まずmap（整理）：当社の中国コンプライアンスチームが、プライベートtapが持つものを棚卸しします——どのformulaeとcaskが独自の内部ツールを記述するか、資格情報や設定を埋め込んでいるか、tapリポジトリとそのbottleが今どこにホストされているか、中国のビルドとプロビジョニングが実際に何を国境の向こうから取得しているか。技術的な見取り図は当社が作り、法的結論は弁護士と確定します。
次にlocalize（国内化）：プライベートtapを中国国内のGitリポジトリでホストし、そのbottleを中国国内のアーティファクトストアから配信します（bottleの root_url は貴社が選んだ先を指します）。これにより独自コード・ビルドロジック・資格情報・コンパイル済みバイナリは中国本土内にとどまり、中国のビルドのサプライチェーンは中国国内に保たれます。個人情報が実際に存在する場合は、通知と個別の同意を取得し、移転が本当に必要な場合にのみ適法な移転メカニズムを用い、国境を越えるものを最小化します。localizeとは、法令に沿った中国国内のサプライチェーンを立てることであって——結局独自素材をオフショアへ送る経路でも、いかなる不正な手段でも決してありません。
そしてdeliver（配信）：tapの周りに中国向けのサーフェス——中国本土の開発者が到達する内部パッケージポータルやアーティファクトサイト——を公開する場合、それはインターネット情報サービスなので、ICP備案義務を負い、法令に沿った中国国内からの配信を必要とします。21YunBoxはそれを中国国内から配信します——21YunBox Optimizer——を、既に運用している構成の前段に置いて。21YunBoxはいかなる不正な手段も用いず、推奨もしません——法がとどめよと言うものを中国国内に保ち、残りを中国本土内から法令に沿って配信し、規制対象の素材を密かに国境の向こうへ動かすことは決してしません。21YunBoxは、既に運用しているHomebrewワークフローへのコンプライアンスのオーバーレイでありパートナーであって、その競合ではありません。
以上はいずれも、Homebrewが中国で「遮断されている」「違法だ」という判定ではありません——端的に動きますし、その公開カタログはオープンソースです。これはプライベートな半分についての、国内保存とサプライチェーンの見取り図であり、どの義務が貴社のケースに効くかは、貴社の法人・中国法上の役割・データ量・プライベートtapが実際に持つものによって変わります——中国のビルドのサプライチェーンがそれに依存する前に、具体を弁護士と確定する価値があります。
関連する読み物：
よくあるご質問
中国でHomebrewのパッケージをインストールできますか？
概ねできます——Homebrewの公開formulaeとcaskはGitHub上のオープンソースで、中国本土のビルドマシンがコミュニティのパッケージを解決してダウンロードできるかは、ミラーやキャッシュが助けになる運用上の到達性の事柄です。ただしそれはコンプライアンスの問いではなく、このページの主眼でもありません。企業にとって重要なのは、プライベートtapとそのコンパイル済みbottleがどこに置かれ、中国のビルドが何を国境の向こうから取得するかです。それが貴社の独自のソフトウェアサプライチェーンだからです。
Homebrewはすべてオープンソースでは——では国内保存のリスクは何ですか？
公開カタログはオープンソースで、それ自体に国内保存の問題はないので、懸念の範囲は絞ってください。リスクは内部ツール向けに運用するプライベートtapです：どの独自ツールを中国のビルドが、どのバージョン・どこから入れるかを列挙するGitリポジトリ、インストールロジック、時には内部ソースに到達するための資格情報——そしてそのtapが指すコンパイル済みbottle。そのtapとそのbottleがオフショアのGit／アーティファクトホストに置かれていれば、貴社の中国デプロイのサプライチェーンと独自コードはオフショアにあり、それらが持つあらゆる個人データはPIPLの下での越境移転になります。
21YunBoxは、プライベートHomebrew tapを中国向けに法令適合で運用する手助けができますか？
はい。当社の中国チームが、プライベートtapが持つもの——どのformulaeとcaskが独自か、資格情報を埋め込んでいるか、tapリポジトリとそのbottleが今どこにホストされているか——を整理し、tapを中国国内のGitリポジトリでホストし、そのbottleを中国国内のアーティファクトストアから配信する支援をします。これにより独自コードとビルドロジックは中国本土内にとどまります。tapはただのGitリポジトリで、bottleは貴社が設定するルートURLを使うため、作り直しもHomebrewからの移行も不要です。中国向けのパッケージポータルは、その後、中国国内から法令に沿って配信します。お問い合わせいただければ、個別のケースを一緒に整理します。
