Maven Centralは中国本土で使えるか：データの国内保存・ICP・越境のルール

Maven Centralの公式ドキュメントが中国について述べていること

事実	一次情報源
Maven Centralは、ビルドがオープンソースの依存を解決する、Sonatype運用の公開リポジトリです。Sonatypeの製品ページ：“Maven Central, or the Central Repository is the largest public repository of open source Java components and libraries, allowing developers to share and consume Java artifacts in a standardized, reliable, and secure way”、そして“Maven Central Repository is professionally managed by Sonatype”（SonatypeによってMaven Central Repositoryは専門的に管理されている）。ホステッドのオフショアのサービスなので——国内保存の問いはこの公開リポジトリではなく、貴社がホストするプライベートなアーティファクトについてです。	Sonatype, “Maven Central Repository” product page (sonatype.com)、2026-10-13 取得
リポジトリマネージャーは、自社の中国国内インフラでプライベートなアーティファクトの単一の信頼できる源として動かせます。Sonatypeは、Nexus Repositoryが“is available as a SaaS offering, as a self-hosted version for data centers and cloud deployments, and a fully disconnected version for air-gapped environments”（SaaS、データセンター・クラウド向けの自前ホスト版、エアギャップ環境向けの完全切断版として提供される）とし、“Manage every binary and artifact, across every team, from a single, auditable source of truth”（あらゆるバイナリとアーティファクトを、単一の監査可能な信頼できる源から管理）と位置づけます。自前ホストのリポジトリマネージャー（NexusまたはJFrog Artifactory）は、プライベートなアーティファクトとビルド成果物を所在させます。	Sonatype, “Sonatype Nexus Repository” product page (sonatype.com)、2026-10-13 取得
個人情報を含むプライベートなアーティファクトやテスト用フィクスチャは、オフショアにホストされると越境移転になります。本土で生成した個人情報を、中国の外にホストされるプライベートレジストリやビルドシステムへ送ることは、PIPLの越境ルール（第38〜40条）を発動させます：通知、個別の同意、そして移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証。範囲は専門家に確認してください。	Personal Information Protection Law of the PRC, Articles 38–40 — see 21YunBox: Cross-Border Data Transfers、2026-10-13 取得
「重要データ」と重要情報インフラ運営者には、中国国内保存の義務があります。サイバーセキュリティ法は、重要情報インフラ運営者が本土で収集・生成した個人情報と重要データを域内に保存し、国外移転の前に安全評価を経ることを求めます——第39条（旧第37条、2026-01-01施行の2025年改正で振り直し）。貴社のアーティファクトやビルドデータが範囲に入るかは専門家に確認してください。	Cybersecurity Law of the PRC, Article 39 (formerly Article 37; 2025 amendment, in force 2026-01-01) — see 21YunBox: China Cybersecurity Law、2026-10-13 取得

情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。

JVMアプリケーションを中国本土へ出荷するチームにとって、Maven Centralはまず誤った問いを立てさせます。確かに、ビルドはMaven Central——Sonatypeが運用する、オープンソースのJavaコンポーネントの公開リポジトリ——から依存を解決し、その公開リポジトリが上海から速く解決するかは到達性とミラーリングの問いです。しかしコンプライアンスの判断はそこに宿りません。判断は一つ内側、貴社自身のプライベートなアーティファクトに宿ります。組織のプライベートなJVMアーティファクトは独自コード——企業秘密——であり、ビルドは日常的に認証情報・APIトークン・設定のシークレットをそこに焼き込みます。それらのプライベートなアーティファクトと、それを生み出すビルドが、ベンダーのオフショアのプライベートレジストリのクラウドに置かれると、集約された知的財産と埋め込まれたシークレットは本土の外に置かれ、中国のビルドの依存のサプライチェーン——どのコードが、どんな来歴で中国のデプロイに入るか——は国境をまたいで走ります。それが、「ビルドはレジストリに到達できるか」のチェックが決して見ない半分です。

Maven Central自体は公開でオープンであり、リスクは誰もが取得するオープンソースのパッケージではありません。リスクは、貴社のプライベートなアーティファクトがどこに存在し、それが中国のビルドにどう入るか、です。MavenやGradleのビルドは、設定したリポジトリから依存——公開も非公開も——を読み込みます。プライベートなアーティファクトがオフショアのホステッドフィードに置かれていれば、中国の各ビルドは自社の独自コードを求めて国境をまたぎます。どのJVMの現場もすでに持っている打ち手は、自前ホストのリポジトリマネージャー——自社の中国国内インフラで運用するSonatype Nexus RepositoryやJFrog Artifactory——であり、プライベートなアーティファクトとビルド成果物を本土に保持し、依存する上流のオープンソースのコンポーネントをキャッシュするので、独自コードと埋め込まれたシークレットは所在し続け、中国のデプロイを支えるサプライチェーンは貴社が統制するものになります。

中国でのMaven Central：ひと目で

「ビルドはレジストリに到達できるか」が誤った問いである理由

到達性チェックは、中国のビルドがパッケージを解決できるかを答えます。完璧に解決したとしても——プライベートなアーティファクトがどこに存在するか、独自コードとそこに焼き込まれたシークレットがオフショアのレジストリに置かれていること、中国のビルドに入るコードがどんな来歴を持つかは、何も教えてくれません。公開レジストリを本土の近くにミラーすればオープンソースのダウンロードは速くなりますが、プライベートなアーティファクトを中国国内に移すことはなく、サプライチェーンの完全性の物語も変えません。コンプライアンスの問いを決めるもの——独自コードと埋め込まれたシークレットの所在、そして中国のデプロイを支えるサプライチェーン——は、ミリ秒ではなくプライベートレジストリがどこで動くかに宿ります。

それらのプライベートなアーティファクトやテスト用フィクスチャが個人情報を含む場合、それらをオフショアにホストすることはPIPLの下での越境移転です。コードやデータが「重要データ」であるか、重要情報インフラを運用する場合、サイバーセキュリティ法（英語）のデータ国内保存のルール（第39条（旧第37条））が関わります。それらの義務が及ぶか、どう及ぶかは、アーティファクトが実際に何を含むかによって変わります——構築の前に、専門家と確定させる価値があります。

法令に沿った経路——把握し、国内化し、届ける

把握（Map）。 JVMアーティファクトのどれがプライベート——独自コード——か、ビルドがそこに認証情報やシークレットを埋め込むか、そのプライベートレジストリやフィードが今どこでホストされているか、そして中国のビルドの依存のサプライチェーンが実際にどのようなものかを棚卸しします。

国内化（Localize）。 プライベートなリポジトリマネージャーとアーティファクトストアを中国国内——本土内のインフラで自前ホスト——で運用するので、独自コードと埋め込まれたシークレットは所在し続けます。中国のビルドのサプライチェーンを中国国内に保ち、国境を越えるものを最小化します。国内化とは、自社のアーティファクトを中国国内で統制することであって、いかなる種類の不正な手段によるものでもありません。

配信（Deliver）。 21YunBoxは、オフショアのフィードの前段に——あるいはそれに代えて——法令に沿った中国国内のプライベートレジストリとアーティファクト配信の層を立ち上げ、すでに運用中のスタックの前段に21YunBox Optimizerとともに配信します。作り直しも、再プラットフォーム化も、二つ目のコードベースもありません。

三つすべての底にあるルール：公開レジストリを単に到達可能にしたりミラーしたりすることは答えではありません。プライベートなアーティファクトとそこに焼き込まれたシークレットが依然オフショアだからです。プライベートレジストリとアーティファクトを中国国内に保つことこそが答えです。

これは判定ではなく、コンプライアンスと国内保存の絵姿です——何が当てはまるかは、プライベートなアーティファクトが何を含み、中国のビルドがどう配線されているかによって変わるので、構築の前に専門家と確定させてください。JVMのアーティファクトとビルドパイプラインがどのようなものかをお知らせいただければ、何が所在し続けなければならないかを整理し、既存のスタックの前段に中国国内のプライベートレジストリを立ち上げます。コンプライアンス評価とお見積もりはお問い合わせください。

コンプライアンス評価を依頼する（英語） →

---

関連する読み物：

• 中国の個人情報保護法（PIPL）（英語）
• 中国の越境データ移転のルール
• 中国サイバーセキュリティ法——データの国内保存（英語）
• 中国のICP備案とは、どう取得するか

よくあるご質問

Maven Centralは中国で遮断されていますか？

それは到達性の問いであって、コンプライアンスの判断が宿る場所ではありません。Maven CentralはSonatypeの公開のオフショアの、オープンソースのJavaコンポーネントのリポジトリです。本土のビルドがそれを速く解決するかはパフォーマンスとミラーリングの問題で、中国国内のキャッシュで対処でき、回り込むべきものは何もありません——当社はいかなる不正な手段も用いず、推奨もしません。重みを担う問いは、貴社のプライベートなアーティファクト——シークレットを埋め込みうる独自コードと、それがどこにホストされるか——です。具体は専門家に確認してください。

なぜ当社のプライベートなMavenアーティファクトがデータの国内保存とサプライチェーンの問題なのですか？

プライベートなJVMアーティファクトは組織の独自コード——企業秘密——であり、ビルドは日常的に認証情報・APIトークン・設定のシークレットをそこに焼き込みます。ベンダーのオフショアのプライベートレジストリのクラウドにホストされると、その集約されたコードとシークレットは本土の外に置かれ、中国のビルドの依存のサプライチェーン——どのコードが、どんな来歴で中国のデプロイに入るか——は国境をまたいで走ります。アーティファクトが個人情報や重要データを含む場合、PIPLの越境ルール（第38〜40条）とサイバーセキュリティ法のデータ国内保存のルール（第39条（旧第37条））が適用されえます。到達性チェックはこのどれも見ません。

プライベートなアーティファクトとビルドのサプライチェーンを中国国内に保つにはどうすればよいですか？

自社の中国国内インフラで自前ホストのリポジトリマネージャー——たとえばSonatype Nexus RepositoryやJFrog Artifactory——を運用し、プライベートなアーティファクトとビルド成果物を所在させつつ、依存する上流のオープンソースのコンポーネントをキャッシュします。21YunBoxは、どのアーティファクトとシークレットが所在し続けなければならないかを整理し、オフショアのフィードの前段（またはそれに代えて）に法令に沿った中国国内のプライベートレジストリとアーティファクトの層を立ち上げ、中国向けのあらゆる面を21YunBox Optimizerで中国国内から配信します——作り直しなしに。これは国内版のMaven Centralではなく、当社はいかなる不正な手段も用いず、推奨もしません。構築の前に範囲を専門家と確定させてください。