NuGetは中国本土で使えるか：データの国内保存、ICP、越境ルール
プライベートなNuGetパッケージは、しばしばAPIキーや接続文字列を埋め込んだ独自の.NETコードです。nuget.org——Microsoftのオフショアの公開ギャラリー——やオフショアのプライベートフィード上では、そのコードとシークレットは国外に置かれ、中国のビルドの依存関係サプライチェーンは国境を越えて走ります。到達性ではなく、データの国内保存とPIPLの問いです。NuGetはプライベートな自前ホストのフィードに対応しているため、中国国内のプライベートフィードがそれらを国内に留めます。
NuGetは中国本土で使えるか
NuGetが中国で使えるかは、到達性ではなく、データの国内保存とソフトウェアサプライチェーンの問いです。公開のオープンソースパッケージが上海から解決することは易しい半分です。コンプライアンスの問いを決めるのは、貴社のプライベートなパッケージです。
組織のプライベートでスコープ付きのNuGetパッケージは独自の.NETソースコード——企業秘密——であり、APIキー、アクセストークン、接続文字列を日常的に埋め込んでいます。Microsoftのオフショアの公開ギャラリーnuget.orgや、あらゆるオフショアのプライベートフィード上にホストされると、その凝縮されたコードと生きたシークレットは国外に置かれ、中国のビルドに供給する依存関係サプライチェーンは国境を越えて走ります——PIPLの下での越境移転であり、重要情報インフラ運営者または大量取扱者にとっては、オフショアのインフラでは満たせないサイバーセキュリティ法（英語）の国内保存義務（第39条（旧第37条））が伴います。
レバー：NuGetはプライベートな自前ホストのフィードに対応しているため、中国国内の自前ホストのプライベートフィードが独自のコードと埋め込まれたシークレットを国内に留めます。これは判定ではなくリスクの見取り図です——義務は顧問弁護士と確認してください。当社の中国チームがプライベートパッケージのリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! プライベートでスコープ付きのNuGetパッケージは、貴社が所有する独自のコード——企業秘密
- ! それらはAPIキー、アクセストークン、接続文字列を日常的に埋め込む
- ! nuget.orgはMicrosoftのオフショアの公開ギャラリー——中国本土のホストはない
- ! 中国のビルドの依存関係サプライチェーンは国境を越えて走る
- ! オフショアの保存はPIPLの越境とCSLのデータ国内保存の義務を生む
- ✓ レバー：中国国内のプライベートNuGetフィードを自前ホストし、コードとシークレットを国内に留める
NuGetの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Microsoft自身の.NETドキュメントでは、nuget.orgは公開ギャラリーです。Overview of NuGet.orgは「NuGet.orgはNuGetパッケージの公開ホストである」とし、「公開ホストとしての役割において、NuGet.org自身がnuget.orgで10万を超えるユニークなパッケージの中央リポジトリを維持する」と述べます。これはMicrosoftによってオフショアで運用され、中国本土のホストは名指しされていません（最新のホスティングはベンダーに確認）。 | Microsoft Learn — Overview of NuGet.org（learn.microsoft.com/nuget）、2026-10-13 取得 |
| Microsoftのドキュメントは、プライベートな自前ホストの経路も文書化しています。同じ概要は、NuGetの技術が「クラウド（Azure DevOpsなど）、プライベートネットワーク、あるいは単にローカルファイルシステム上で、パッケージをプライベートにホストすることも可能にする」とし、ホスティングガイドは「NuGetはプライベートなパッケージソースの設定に対応する」とし、「ローカルHTTPサーバー」や自前で動かせるサーバー（NuGetサーバー、Sonatype Nexus、JFrog Artifactory）を含むとします。いずれも中国国内のインフラで動かせます。 | Microsoft Learn — Overview of NuGet.org および Overview of Hosting Your Own NuGet Feeds（learn.microsoft.com/nuget）、2026-10-13 取得 |
| パッケージに付いて回る個人データ——テストフィクスチャの識別子、パッケージや公開のメタデータに含まれる共同作業者のアイデンティティ——を、オフショアのフィードに保持すること、そして中国のビルドが国境を越えて依存関係を取得することは、個人情報保護法の下での越境移転（第38〜40条）です。取扱者は通知し、個別の同意を取得し、移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たさなければなりません。 | 中華人民共和国個人情報保護法 第38〜40条 — 21YunBox：PIPLの下での越境データ移転、2026-10-13 取得 |
| 重要情報インフラ運営者または大量取扱者の場合、中国で収集した個人情報と重要データは中国本土内に保存しなければなりません——サイバーセキュリティ法（英語）のデータ国内保存ルール、2026-01-01施行の2025年改正で番号が振り直された第39条（旧第37条）——オフショアのプライベートフィードでは満たせない義務です。 | 中華人民共和国サイバーセキュリティ法 第39条（旧第37条）— 21YunBox：中国サイバーセキュリティ法とデータの国内保存、2026-10-13 取得 |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土での運用にとって、NuGetをめぐる決め手は、dotnet restoreが上海から公開パッケージを取得できるかではありません——オープンソースのギャラリーが素早く解決することは、易しく面白みのない半分です。構成が擁護できるかを決めるのは、貴社のプライベートなパッケージです。組織のプライベートでスコープ付きのNuGetパッケージは独自の.NETソースコード——企業秘密——であり、APIキー、アクセストークン、接続文字列を日常的に埋め込み、ときにテストフィクスチャに個人の記録が焼き込まれています。それらをMicrosoftのホスト型公開ギャラリーであるnuget.orgや、あらゆるオフショアのプライベートフィードにプッシュすると、その凝縮された知的財産と生きたシークレットは中国本土の外に置かれ、そして中国のビルドに供給する依存関係サプライチェーンは国境を越えて走ります。これを決めるのは、復元のレイテンシではなく、データの国内保存と越境移転です。
NuGetは中国で使えるか：ひと目で
| 決め手 | 中国本土にとっての意味 |
|---|---|
| プライベートパッケージが抱えるもの | プライベートでスコープ付きのパッケージは独自の.NETコード——凝縮された企業秘密——であり、APIキー、アクセストークン、接続文字列を日常的に埋め込み、ときにテストフィクスチャに個人の記録を含みます。 |
| 公開ギャラリーがどこで動くか | nuget.orgはMicrosoftのホスト型公開ギャラリーで、オフショアで運用されています。そのドキュメントは中国本土のホストを名指ししていません（最新のホスティングはMicrosoftに確認）。 |
| プライベートパッケージがどこに置かれるか | nuget.orgやベンダーのオフショアのプライベートフィードにプッシュされると、その凝縮されたコードと生きたシークレットは中国本土の外に置かれます——データの国内保存と企業秘密のリスクです。 |
| 中国のビルドのサプライチェーン | 中国のデプロイに入る依存関係——そしてその来歴と完全性——は、復元のたびに国境を越えます。したがってソフトウェアサプライチェーンは既定で越境です。 |
| データの国内保存 | CIIOまたは大量取扱者の場合、中国で収集した個人情報と重要データは中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条））——オフショアのインフラでは満たせない義務です。 |
| データの国内保存のレバー | NuGetはプライベートな自前ホストのフィードに対応しています。自前ホストのNuGetサーバー、Nexus、Artifactoryを中国国内で動かせば、独自のコード、成果物、埋め込まれたシークレットは国内に留まります。 |
第一の扉——プライベートなNuGetパッケージは独自のコードであり、データの国内保存はフィードがどこで動くかで決まる
まずプライベートフィードが何を保持するかから始めます。それこそ中国の法が応じる対象だからです。コミュニティの依存関係の公開ミラーは要点ではありません。プライベートな、スコープ付きのパッケージこそ要点です。それは公開しない独自の.NETコードの正本の保管先——ライブラリ、ビルド出力、リリースパッケージ——であり、焼き込まれたAPIキー、アクセストークン、接続文字列を日常的に抱え、さらにテストフィクスチャやサンプルペイロードに紛れ込むあらゆる個人データを含みます。それは一か所に置かれた、知的財産の凝縮された一片です。
それをMicrosoftのホスト型公開ギャラリーであるnuget.orgや、オフショアのプライベートフィードにプッシュすると、凝縮されたIPと生きたシークレットは中国本土の外に置かれます。Microsoftの公表資料によれば中国本土のホストはありません（想定せず、Microsoftに直接確認すべき点です）。貴社が重要情報インフラ運営者である場合、または大量の個人情報を取り扱う場合、中国で収集・生成した個人情報と重要データは中国本土内に保存しなければなりません——サイバーセキュリティ法（英語）のデータ国内保存ルール、2026-01-01施行の2025年改正で番号が振り直された第39条（旧第37条）です。オフショアのインフラには、それを満たす中国本土の足場がありません。
第二の扉——依存関係サプライチェーンと、それに付いて回る個人データが国境を越える
第二の扉はサプライチェーンと、その中の個人データです。ビルドのたびに、中国のデプロイはフィードから依存関係を解決します——どんなコードが、どんな来歴と完全性でデプロイに入るかは、そのフィードが置かれる場所で決まります。プライベートフィードをオフショアで動かせば、そのサプライチェーンは既定で越境です。バイナリと並んで、フィードとそのメタデータは個人情報を抱えます。テストフィクスチャの識別子、パッケージや公開のメタデータに含まれる共同作業者のアイデンティティです。個人情報保護法（PIPL）の下では、そのデータを中国本土の外のインフラに保持することは越境移転（第38〜40条）です。取扱者は通知し、移転について個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たさなければなりません。フィクスチャとメタデータに入る個人データを最小化することは対策の一部ですが、それ単独ではフィードを移しません。
なぜ到達性チェックではこれを見落とすのか
「上海からビルドがパッケージを復元できるか」というテストは、誤った問いに答えています。コミュニティの依存関係が素早く解決するように公開パッケージのミラーやキャッシュを立てることは、正当なサプライチェーンの利便ですが——それは貴社のプライベートなフィード、成果物、シークレットが実際にどこに置かれるかを変えず、ビルドの依存関係サプライチェーンを国内に移しもしません。到達性の探針は、独自のパッケージと埋め込まれた認証情報がオフショアのレジストリ上に置かれていることも、その中の中国の個人データにかかる通知・同意・メカニズムの義務も、決して見ません。だから構成は、すべてのプライベートパッケージ、焼き込まれたすべてのシークレット、すべての共同作業者の記録がなおオフショアに置かれたまま、中国本土内から見ると申し分なく健全に見えることがあり得ます。当社は中国本土内からのNuGet復元性能の一次計測を公表していないため、ここには数値を置きません。それは主張するのではなく、貴社の実際のフィードに対して計測すべきものです。
これは判定ではなくリスクの見取り図です。国内保存、移転メカニズム、作り直した同意フロー、公開向け開発者ポータルのICP備案、あるいはそれらの組み合わせが必要かは、プライベートパッケージとパイプラインが何を、どれだけ抱え、共同作業者が誰かで変わります——構築の前に、顧問弁護士と片付ける価値があります。
レバー——map・localize・deliver
NuGetはプライベートな自前ホストのフィードに対応しているため、本物の中国国内経路があり、21YunBoxはいかなる形の不正な手段も、使うことも勧めることもありません。
- Map（可視化） — どのパッケージと成果物がプライベート（貴社の独自コード）か、シークレットを埋め込んでいるか、そのプライベートフィードが今どこにホストされているか、データの国内保存の根拠、そして中国のビルドの依存関係サプライチェーンを棚卸しします。
- Localize／govern（国内化・統制） — プライベートフィードと成果物ストアを中国国内で（自前ホスト——自前ホストのNuGetサーバー、Nexus、Artifactory）動かし、独自のコードと埋め込まれたシークレットを国内に留め、中国のビルドのサプライチェーンを国内に保ち、フィクスチャとメタデータに入る個人データを最小化し、フィードを単に露出させるのではなく統制します。
- Deliver（配信） — オフショアのクラウドの前段に（あるいはそれに代えて）、法令適合の中国国内プライベートフィードと成果物配信を置き、チームとCIが保管先を国境の向こうへ戻すことなく、国内のフィードから解決できるようにします。
公開ギャラリーを単に到達可能・ミラー済みにすることは答えではありません——プライベートパッケージ、シークレット、成果物、共同作業者の記録はなおオフショアにあります。プライベートフィードと成果物を国内に留めることが答えです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
NuGetと既存の.NETツールチェーンは使い続けてください。当社が加えるのは、オフショアのレジストリが単独では供給できない部分です。自前ホストのプライベートフィードに合法的な中国国内の置き場所を用意し、パッケージ、ビルド成果物、埋め込まれたシークレットを、法が求める場所——国内——に留めます。そして開発者のアクセスと、その前段のあらゆる公開向けポータルには、法令適合のICP備案済みの配信を添えます。既存の構成の周りに置くだけで、作り直しも、二つ目のコードベースも、NuGetからの移行もありません。お使いのエコシステムのパートナーとして、当社の中国チームが貴社のPIPLの越境・同意・データの国内保存の義務を貴社の法人とパイプラインに照らして整理し、そのうえで、妥当な中国プレゼンスに必要な中国国内のフィードと配信を立ち上げます。当社はいかなる形の不正な手段も、使うことも勧めることもありません。
関連する読み物：
よくあるご質問
NuGetは中国本土で使えますか？
公開のNuGetパッケージは概ね中国本土から解決するので、到達性がボトルネックになることはまれです。本当の問いはデータの国内保存とサプライチェーンです。プライベートでスコープ付きのパッケージは、しばしばAPIキー・トークン・接続文字列を埋め込んだ独自の.NETコードであり、nuget.orgやオフショアのプライベートフィード上では、そのコードとシークレットが国外に置かれ、中国のビルドが国境を越えて依存関係を取得します。はい・いいえではなく、顧問弁護士と確認すべきリスクとして扱ってください。
当社のプライベートなNuGetパッケージはデータの国内保存の問題になりますか？
なり得ます。プライベートパッケージは独自のソースコード——企業秘密——を凝縮し、埋め込まれた認証情報を日常的に抱え、テストフィクスチャや共同作業者のメタデータにときに個人データを含みます。ベンダーのオフショアのプライベートレジストリのクラウドに保持されると、それはPIPLの下での越境移転であり、重要情報インフラ運営者または大量取扱者にとっては、サイバーセキュリティ法の第39条（旧第37条）がオフショアのフィードでは満たせない国内保存義務を加えます。到達性チェックは、それらのプライベートパッケージとシークレットがどこに置かれるかを決して見ません。
NuGetを使い続けながら、プライベートパッケージを国内に留められますか？
はい。NuGetはプライベートな自前ホストのフィードに対応しているため、自前ホストの中国国内プライベートフィード（自前ホストのNuGetサーバー、Sonatype Nexus、JFrog Artifactory）を動かし、独自のコード、ビルド成果物、埋め込まれたシークレットを国内に留められます。21YunBoxは、どのパッケージがプライベートでシークレットを埋め込んでいるかを整理し、既存の.NETツールチェーンの前段に法令適合の中国国内プライベートフィードとICP備案済みの配信を作り直しなしで立ち上げ、いかなる形の不正な手段も使うことも勧めることもありません。コンプライアンス評価を依頼すると、個別のケースを一緒に整理します。
