Jenkinsは中国本土で使えるか：データの国内保存、ローカライゼーション、PIPL越境
Jenkinsは自ら運用するオープンソースのソフトウェアで——中国本土のインフラ上を含めてホストできます。それが梃子です。コンプライアンスの問いはコントローラーがどこで動くかです。オフショアなら、それが保持するソースコード・パイプラインの秘密情報・ビルド状態が国外に置かれます——中国の個人情報があれば、PIPLの越境移転です。CI/CDのデータがどこに置かれてよいかを、コンプライアンス起点で読み解きます。
Jenkinsは中国本土で使えるか
Jenkinsが中国で使えるかは到達性ではなくデータの国内保存の問いであり——サーバー自体が適法な梃子です。Jenkinsは自ら運用する無料のオープンソースの自動化サーバーで、中国本土内のサーバーでの自己ホストを含めてホストでき、決して「遮断」されません。
Jenkinsは国内保存に中立なので、そのデータがどこに置かれるかは、コントローラーとそのエージェントをどこで動かすか——ソフトウェアではなく——で決まります。中国国内で自己ホストすれば、ソースコード、Jenkinsがコントローラーに保存するパイプラインの資格情報、ビルドログ、IaCの状態は本土の地に留まります。コントローラーをオフショア——オフショアのクラウド、オフショアのマネージドCIサービス、オフショアのインフラ上のCloudBeesディストリビューション——にホストすれば、そのすべてが国外に置かれます。コミット・CIログ・テストフィクスチャに中国の個人情報があれば、それはPIPLが規律する越境移転（第38〜40条）であり、重要情報インフラ運営者または大量取扱者には国内保存の義務（英語）（PIPL第40条、サイバーセキュリティ法 第39条、旧第37条）の違反です。それを中国国内でホストするソブリンパーティションは存在します——SinnetとNWCDによるAWS China、21VianetによるAzure China——が、いずれも独自のアカウント・ICP・機能の差を持つ別個の運用者なので、中国国内のホストは自動的なコンプライアンスではありません。
これは判定ではなく裁定でもありません、リスクの見取り図です——義務は貴社の法人、取扱データ量、リポジトリとログに誰の個人情報が置かれているかによって変わります。当社の中国チームがJenkinsのデータのリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! Jenkinsは国内保存に中立・自己ホスト：データはコントローラーを動かす場所に置かれる
- ✕ オフショアにホストしたJenkinsコントローラーは、コード・秘密情報・ビルド状態を国外に残す
- ! Jenkinsはパイプラインの資格情報をコントローラーに保存；オフショアなら秘密情報は国外
- ! コミット・ログ・フィクスチャの中国個人情報が、オフショア保持を越境移転にする
- ! CIIO／大量取扱者は、オフショアのCIホストに満たせない国内保存の義務を負う
- ✓ 適法な経路：リスクを整理し、中国国内で自己ホストし、ICP備案済みの中国国内配信
Jenkinsの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Jenkinsは自己ホストの、国内保存に中立なソフトウェアであり——ベンダー運用のクラウドでもホスティングの所在地でもありません。自身のサイトはJenkinsを「主要なオープンソースの自動化サーバー」「すぐに使える自己完結型のJavaベースのプログラム」と呼び、インストールガイドは「Jenkinsは通常、自身のプロセスでスタンドアロンのアプリケーションとして動く」と述べます。コントローラーとビルドエージェントを自ら動かすため、コード・ログ・秘密情報がどこに置かれるかはどこにデプロイするかで完全に定まります——本土の地に留める、中国本土のインフラ上での自己ホストを含めて（適法な梃子）。JenkinsはContinuous Delivery Foundationのプロジェクトで、ベンダー運用のJenkins SaaSはなく、商用ディストリビューション（CloudBees CI）も同様に自ら導入・運用します。 | Jenkins project — ホームページおよび『Installing Jenkins』ガイド、2026-10-10 取得 |
| Jenkinsはパイプラインの資格情報と秘密情報を、ホストするコントローラー上に保存します。Jenkinsのユーザードキュメントは「Jenkinsは次の種類の資格情報を保存できる」——シークレットテキストとAPIトークン、ユーザー名とパスワード、SSH鍵と証明書——とし、「Jenkinsに設定された資格情報は、暗号化された形でコントローラー上に保存される」（JenkinsコントローラーIDで暗号化）とします。それらの秘密情報は、ソースコード・ビルドログ・IaCの状態とともに、コントローラーが動く場所に置かれます。オフショアなら国外にあり国内保存の空白、中国国内で自己ホストなら本土の地に留まります。 | Jenkins user documentation — Using credentials、2026-10-10 取得 |
| オフショアのJenkinsコントローラー上に保持される中国の個人情報は、PIPLの下での越境移転です。コミットのメタデータ・CIログ・チケット・テストフィクスチャが氏名・メール・顧客データを担う場合、それらを本土の外のコントローラーに保存することはPIPLが規律する移転——通知、個別の同意、移転メカニズムのいずれか一つ（PIPL第38〜40条）を要し、量や機微性の閾値を越えればCACの安全評価（英語）があり得ます。責めを負う取扱者は、オープンソースのプロジェクトではなく運用者である貴社です。ソースコード自体は、同じオフショアの国内保存にさらされる営業秘密であり、PIPLとは独立です。 | 中華人民共和国個人情報保護法 第28条および第38〜40条 |
| CIIOと大量取扱者は、オフショアのCIホストに満たせない国内保存の義務を負います。本土で収集した個人情報と重要データは本土に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条、旧第37条（英語））。2026年1月1日施行の2025年サイバーセキュリティ法改正で、データ国内保存の条文は第37条から第39条へ番号変更、実質は不変。Jenkinsは中国国内でも同じように動くため、コントローラーを本土のインフラ（または許諾済み／ソブリンの中国国内ホスト）上で自己ホストすれば、移行なしでこの義務を満たせます。 | PIPL第40条；中華人民共和国サイバーセキュリティ法 第39条（旧第37条） |
情報源は21YunBox コンプライアンスチームが2026年10月10日に確認しました。
中国本土に奉仕するチームにとって、Jenkinsについての問いは、それがインストールできるか動くかではありませんでした。できます。Jenkinsは「主要なオープンソースの自動化サーバー」であり、自分のマシンにダウンロードして動かす自己完結型のJavaプログラムです——バージニアのサーバー上と同じくらい容易に、上海のサーバー上でも。Jenkinsをコンプライアンスの問いにするのは到達性ではなく、それが何を保持し、それがどこに置かれるかです。貴社のソースコード——営業秘密であり、しかも資格情報・鍵・実データが構成・フィクスチャ・テストに埋め込まれて行き着く日常的な場所——Jenkinsがコントローラー上に保存するパイプラインの秘密情報、ビルドログとアーティファクト、そしてトポロジ全体を地図化するインフラのコード化（IaC）の状態です。Jenkins自体は国内保存に中立です。Continuous Delivery Foundationが出荷するのは自動化サーバーであって、ホスティングの所在地ではありません。それらすべてがどこに置かれるかは、コントローラーとそのエージェントをどこで動かすかによって完全に決まります——中国国内で自己ホストすれば本土の地に留まり、オフショアのホスト上なら国外に置かれます。
中国でのJenkins：ひと目で
| 決め手 | Jenkins自身の言葉と、中国の法では |
|---|---|
| コード・秘密情報・状態が物理的にどこに置かれるか | Jenkinsは国内保存に中立です。自身のサイトは「主要なオープンソースの自動化サーバー」、自ら動かす「自己完結型のJavaベースのプログラム」と呼びます。自分のリージョンを持たず——ソース・秘密情報・ビルド状態がどこに置かれるかは、コントローラーとそのエージェントをどこでホストするかで定まります。本土のインフラ上での自己ホストか、オフショアか、です。Jenkinsにベンダー運用のSaaSはなく、商用ディストリビューション（CloudBees CI）も同様に自ら導入・運用し、オフショアのクラウド上では同じ国内保存の空白が当てはまります。 |
| 何を保持し、なぜ個人情報か | CI/CDのコントローラーは企業の最も機微な資産を凝縮します。ソースコード（営業秘密）、Jenkinsがコントローラー上に保存するパイプラインの資格情報とAPIトークン、ビルドログとアーティファクト、そしてトポロジを地図化しばしば平文で秘密情報を保持するIaCの状態です。コミット・テストフィクスチャ・CIログ・チケットが氏名・メール・顧客データを担う場合、それはPIPLの下での個人情報です——そして一つのフィクスチャやログが、第28条のセンシティブ個人情報（金融・政府発行ID・精確な位置・健康のフィールド）を保持し得ます。 |
| システム内の貴社の本土データ | 本土で収集され、オフショアのJenkinsコントローラー上に保持されるソース・秘密情報・中国の個人情報は、PIPLが規律する越境移転です。通知、個別の同意、移転メカニズムのいずれか一つ（PIPL第38〜40条）。責めを負う取扱者は、オープンソースのプロジェクトではなく、運用者である貴社です。 |
| 国内保存の義務 | 重要情報インフラ運営者または大量取扱者は、オフショアのCIホストに満たせない国内保存の義務を負います——本土の個人情報と重要データは本土に留めなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条）（英語））——2026年1月1日施行の2025年サイバーセキュリティ法改正で、データ国内保存の条文が第37条から第39条へ番号変更、実質は不変。 |
| 到達できるか | 到達性は問いではなく配信の半分として扱ってください——サーバーは中国国内で問題なく動き、インストーラーやプラグインの取得、オフショアのパイプライン依存だけが配信の事柄です。適法な梃子はコントローラーを中国国内で動かすこと（自己ホスト、または許諾済み／ソブリンの選択肢）であり、その前段の中国向けのあらゆる面——デプロイされたアプリ、開発者ダッシュボード——は、中国国内ホスティングリソースに結びついたICP備案が必要です（国務院令第292号、工業・情報化部令第33号）。 |
コード・秘密情報・状態が実際に置かれる場所
Jenkinsはリージョンを持ちません。貴社のコントローラーが持ちます。自動化サーバーは、フランクフルトで動こうとシンガポールで動こうと上海で動こうと同じビットなので、国内保存の問いは、コントローラーとそのエージェントを置くホストに完全に懸かっています。
オフショアのホスト上——オフショアのクラウドで動かすコントローラー、オフショアのマネージドCIサービス、あるいはオフショアのAWSやGCP上にデプロイされた商用のCloudBeesディストリビューション——では、そのホストは本土の外です。そこにパイプラインを向ければ、貴社のソースコード、Jenkinsが保存する資格情報、ビルドログ、IaCの状態はすべて国外に置かれます。そのいずれかが中国の個人情報である場合、個人情報保護法（PIPL）はそれを越境移転として扱い、責めを負う取扱者は貴社です。
中国国内の選択肢は本当に存在し、それが適法な梃子です。本土のインフラ上でJenkinsを自己ホストでき、そこでサーバーは同じように動きます。そして大手の海外クラウドは、別個のソブリンパーティションを通じてのみ中国に届きます——AWS China（Sinnetが運用する北京リージョンと、NWCDが運用する寧夏リージョン）とAzure China（21Vianetが運用）は、独自のアカウント・独自のICP・独自の機能と提供状況の差を持つ別個のクラウドです——その上でコントローラーを中国国内に立ち上げられます。中国国内のホストは自動的なコンプライアンスではありません。そのための出発点です。
それが保持するものは個人情報——そして営業秘密
CI/CDシステムがこの精査に値するのは、それが何を凝縮するかゆえです。データの一片に触れるツールと違い、Jenkinsのコントローラーは、貴社の最も機微な資産のいくつかが一緒に置かれる場所です。貴社のソースコード——それ自体が営業秘密であり、しかも資格情報・APIキー・実データが構成・フィクスチャ・テストデータに埋め込まれて行き着く日常的な場所——と、Jenkinsが保持するパイプラインの秘密情報です。自身のドキュメントによれば、「Jenkinsは次の種類の資格情報を保存できる」とされ、「Jenkinsに設定された資格情報は、暗号化された形でコントローラー上に保存される」とされます。実行が生むビルドログとアーティファクト、トポロジ全体を地図化しばしば平文で秘密情報を伴うIaCの状態を加えれば、コントローラーは、コード・秘密情報・状態が収束する単一の場所になります。
その多くは、個人を特定した瞬間にPIPLの下での個人情報です——コミットのメタデータとチケットにある氏名とメール、テストフィクスチャとCIログに紛れ込む顧客の行。そしてその一部は第28条の センシティブ 個人情報（金融記録、政府発行ID、精確な位置、生体認証や健康のデータ）であり、特定の目的・厳格な必要性・個別の同意という、より高い基準を伴います。
だからこそ、ここで国内保存は単なる良い衛生習慣ではありません。重要情報インフラ運営者、そして取扱量が規制当局の閾値を超える取扱者にとって、本土で収集した個人情報と重要データは本土に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条）（英語））。オフショアのコントローラーは構造的にその義務を満たせません——コード・ログ・秘密情報は、定義上、間違った国にあるのです。そして移転がそもそも許される場合でも、量や機微性の閾値を越えると、それが適法に国を出る前にCAC主導のデータ越境安全評価（英語）が発動し得ます。
コントローラーをオフショアで動かすことは国内保存の義務を満たさない——そして何が満たすか
率直な要約は、狭く、そして重要です。Jenkinsについて立ち入り禁止のものは何もなく、それを捨てる必要はありません。リスクはソフトウェアではなく、貴社のソース・秘密情報・ビルド状態を本土の外に駐めるデプロイです。コントローラーがどこで動くかを正せば、リスクは閉じます。
適法な梃子は、同じJenkinsを中国国内で動かすことです。本土のインフラ上で、または許諾済みの国内あるいはソブリンクラウドのホスト上で自己ホストすれば、サーバーは国外とまったく同じように振る舞います——同じジョブ、同じパイプライン、同じプラグイン、同じ資格情報ストア——したがって中国が国内に留めることを求めるコード・ログ・秘密情報はそうなり、書き換えも二つ目のパイプラインもありません。本土のパイプラインをオフショアのコントローラーに向け直すことはローカライゼーションではなく、保存の義務を満たしません。適法な中国国内のコントローラーを立ち上げることが、満たします。パイプラインがなおオフショアの依存——ソースのミラー、アーティファクトレジストリ、マネージドランナー——に到達しなければならない場合、そのフローを最小化・同意済みにし、移転メカニズムで裏づけ、そしてシステムの前段の中国向けのあらゆる面は、それ自身のICP備案を得ます。
これは判定ではなくリスクの見取り図です。国内保存、移転メカニズム、個別の同意、ICP備案、あるいはそれらの組み合わせを負うかは、貴社の法人、取扱データ量、リポジトリとログが保持するもののうち個人情報やセンシティブなものがどれだけあるか、そしてユーザーが誰かによって変わります——そして、一つの本土の資格情報やコミットがどこに置かれるかを決める前に、専門家と確定させる価値があります。
適法な経路——map, localize, deliver
中国本土向けに適法に運用するためにJenkinsを捨てる必要はありません。21YunBoxは移行ではなく法令適合のオーバーレイであり——そして、すでに運用中のオープンソースの自動化サーバーにとって、競合ではなくスタックと並んで座るパートナーです。三つの動きがあり、それらは組み合わさります。
Map（整理）。 当社の中国コンプライアンスチームが、PIPLの越境・データ国内保存・データローカライゼーション（CII）の義務を、貴社の実際の法人、取扱データ量、そしてリポジトリ・ログ・資格情報ストアに誰の個人情報が置かれているかに照らして読み解きます——何かが動く前にリスクが書き出されます。
Localize（ローカライズ）。 リスクはコード・秘密情報・状態がどこに置かれるかなので、コントローラーとそのエージェントを中国国内で動かします——本土のインフラ上での自己ホスト、または許諾済みの国内あるいはソブリンクラウドのホスト上で——したがって中国が本土の地に留めることを求めるソース・パイプラインの秘密情報・ビルド状態はそうなります。ローカライズとは、同じJenkinsの適法な中国国内のデプロイであり、オフショアのコントローラーへ送り返す仕組みでは決してありません。最小化され適法に移転できる部分集合だけが越境します。
Deliver（配信）。 システムの前段の中国向けのあらゆる面——パイプラインが本土ユーザーに出荷するアプリケーション、中国国内のチームが到達する開発者ダッシュボード——には、21YunBox OptimizerがICP備案済みの中国国内からの配信を、すでに運用中のスタックの前段として提供します。作り直しも二つ目のコードベースもありません。21YunBoxは、いかなる種類の不正な手段も用いず、また推奨しません。眼目はすべて、適法で、届け出済みの、中国国内の経路です。
目標は明快です。貴社のJenkinsパイプラインが、中国のユーザー向けに適法かつ法令適合で動くことです。
関連する読み物：
よくあるご質問
Jenkinsは中国で遮断されていますか？
いいえ。Jenkinsは自ら運用する無料のオープンソースの自動化サーバーで、中国本土内のサーバー上で問題なく動きます——決して遮断されません。コンプライアンスの問いは、それが動くかではなく、そのデータがどこに置かれてよいかです。コントローラーを中国国内で自己ホストすれば、ソースコード・パイプラインの秘密情報・ビルド状態は本土の地に留まり、オフショアにホストしたコントローラーはそれらを国外に保ちます。これは中国の個人情報が関わるところでPIPLが越境移転として扱います。
Jenkinsに中国のデータ国内保存やマネージドクラウドの選択肢はありますか？
Jenkinsにはベンダー運用のSaaSが一切ありません——コントローラーとエージェントを自らホストするため、国内保存は貴社のデプロイの選択です。それが梃子です。本土のインフラ上でJenkinsを自己ホストすれば、コード・秘密情報・状態は中国国内に留まります。それをホストする別個のソブリンパーティションは存在します——SinnetとNWCDが運用するAWS China（北京と寧夏）、21Vianetが運用するAzure China——が、いずれも独自のICP・機能と提供状況の差を持つ別個のアカウントなので、中国国内のホストはコンプライアンスの出発点であって、自動的なコンプライアンスではありません。
中国で法令適合であるために、Jenkinsから移行しなければなりませんか？
いいえ。Jenkinsは国内保存に中立で中国国内でも同じように動くため、適法な経路は同じJenkinsを中国国内で動かすこと——本土のインフラ上での自己ホスト、または許諾済みの国内あるいはソブリンクラウドのホスト上で——です。そうすれば、中国が国内に留めることを求めるソースコード・パイプラインの秘密情報・ビルド状態はそうなります。これは書き換えではなくデプロイの変更であり、本土のパイプラインをオフショアのコントローラーに向け直すことはローカライゼーションではありません。これをリスクの見取り図として扱い、具体は貴社自身の法人と取扱データ量に照らして専門家と確定してください。
