Oktaは中国本土で使えるか：データの国内保存、PIPL、オフショアのアイデンティティセル
Oktaは中国本土から到達できますが、決め手は速度ではなくデータの国内保存です。Oktaはアイデンティティとユーザーデータを米国・EMEA・日本・オーストラリア・カナダ・インドのセルに保存し、中国本土にはセルがありません。つまり中国ユーザーのアカウントとログイン記録はオフショアに置かれ、これはPIPLが規律する越境移転に当たります。「データの扉」をコンプライアンス起点で読み解きます。
Oktaは中国本土で使えるか
Oktaは中国本土から到達できますが、そこにアイデンティティデータは一切置かれません。中国本土にセルを運用していないため、中国ユーザーのために保持するアカウント・プロフィール・サインイン記録はすべてオフショアに保存されます。そのため中国でのOktaは、速度ではなくデータの国内保存とPIPLの問いになります。アイデンティティプロバイダーは組織運用の基盤となるアカウントを保持しており、それをどこに置くかこそ、中国の法が反応する対象です。
Okta自身のデータレジデンシー文書によれば、「データレジデンシーとは、組織のコンテンツが実際に保存される地理的な場所を指す」とされ、そのアイデンティティのセルは「米国・EMEA・日本・オーストラリア・カナダ・インドにある」——いずれも中国本土にはありません。中国ユーザーのアイデンティティとログイン記録をそこに保持することは、PIPLが規律する個人情報の越境移転（英語）に当たり、通知、個別の同意、移転メカニズム、そしてCIIOまたは大量取扱者には国内保存が求められます。サインインが同じオフショアのセルから応答されるため、認証のラウンドトリップも国境を越えます。下の表はOkta自身の記述と、それが引き起こすルールです。
これは判定ではなくリスクの見取り図です。義務は取扱データ量と役割で変わります。当社の中国チームがOktaのリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! 到達はできるが、オフショアのセルから配信——サインインとアセットは国境を越える
- ! アイデンティティとユーザーデータをオフショアのセルに保存（米国・EMEA・日本・豪州・カナダ・インド）
- ! オフショアに置かれるアイデンティティデータは越境移転——PIPLが適用
- ✕ 中国本土のセルもデータ国内保存の選択肢もない
- ✓ 法令に沿った中国国内からの配信経路は存在——作り直しも移行も不要
Oktaの公式ドキュメントの記載と、当社が中国本土内から実測した結果
| 事実 | 一次情報源 |
|---|---|
| Okta自身の言葉：「データレジデンシーとは、組織のコンテンツが実際に保存される地理的な場所を指す」とし、それを満たすため「Oktaは、顧客データを保存するローカルセルを購入できるセルアーキテクチャを用意した」。そのセルは「米国・EMEA・日本・オーストラリア・カナダ・インドにある（プライマリとフェイルオーバーの両方）」——中国本土には一つもなく、最も近いのは日本。 | Okta — Okta + Data Residency（2026-10-07 取得） |
| Oktaは個人情報——アイデンティティ、プロフィール、グループ所属、認証ログ——を保持し、割り当てられたオフショアのセルに置く。したがって中国のユーザーから収集したデータは国外へ出る。PIPLはこの越境移転を規律する（英語）：個人情報の取扱者（Oktaではなく、その顧客である貴社）は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たさなければならない。 | PIPL 第3章 第38〜43条 |
| リスクは、ツールを使うこと自体ではなく量と役割に応じて大きくなる：CACの2024年3月の越境規則の下では、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証のいずれも免除される。 | CAC — データ越境移転の促進と規範化に関する規定（2024年3月） |
| CIIOまたは大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければならない（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）。Oktaは中国本土のセルを公表していないため、中国ユーザーのアイデンティティデータを中国の地に留める唯一の方法は、そのアイデンティティと保存を本土内のインフラで運用すること。それを合法的に立ち上げるにはICP備案が視野に入る。 | PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条）；Okta — Okta + Data Residency（セルの地域、2026-10-07 取得） |
到達性は配信の問題であって、コンプライアンスの問いではない。北京の家庭用ブロードバンド回線から2026-08-30に要求したところ、okta.comは3回すべてで応答し描画された（TTFB中央値1,049ms、LCP 3,052ms）が、3回とも60秒のウィンドウ内にナビゲーションは完了しなかった——3つのオフショアの第三者依存（Google Fonts、Google Tag Manager、OneTrustの位置情報呼び出し）が停止した一方、Okta自身のホストはすべてのリクエストに応答した。到達はできる。使ってよいかを決めるのは、アイデンティティデータがどこに置かれるかだ。 | 21YunBox — 中国配信計測、中国本土内から実測 |
情報源は21YunBox コンプライアンスチームが2026年10月19日に確認しました。
中国本土の利用者にとって、Oktaをめぐる決め手は「どれだけ速くサインインできるか」ではなく、「Oktaが保持するアイデンティティを、どこに置くことが許されるか」です。Oktaはアイデンティティプロバイダーであり、組織が運用の基盤とするアカウント・プロフィール・グループ所属・認証記録を保存します。Okta自身のドキュメントによれば、そのデータは地理的な セル（cell） に置かれ、Oktaのセルは一つも中国本土にありません。したがって、Okta上に構築した中国向けのデプロイは到達はできても、中国ユーザーのために保持されるあらゆるアイデンティティはオフショアに置かれます。これはパフォーマンスの問題ではなく、中国のデータ関連法が規律する越境移転です。しかもサインイン自体がそのオフショアのセルから応答されるため、認証のラウンドトリップはログインのたびに国境を越えます。問題はOktaに到達できるかではなく、ユーザーのアイデンティティをどこに保持しているかです。
中国でのOkta：ひと目で
| 決め手 | Okta自身の言葉では |
|---|---|
| アイデンティティデータの保存場所 | 各Oktaの組織（org）はセルに割り当てられ、顧客データはそのセルに保存されます。Oktaのセルは“located throughout the US, EMEA, Japan, Australia, Canada and India (for both primary and failover capabilities)”（米国・EMEA・日本・オーストラリア・カナダ・インド）にあります。いずれも中国本土にはなく、最も近い日本も依然としてオフショアです。 |
| 越境移転 | 中国のユーザーのために認証するアイデンティティ・プロフィール・サインイン記録は、そのオフショアのセルに置かれます。これはPIPLが規律する個人情報の越境移転であり、取扱者はOktaではなく、Oktaの顧客である貴社です。 |
| 規律が強まる条件 | リスクは量と役割に応じて大きくなります。CACの2024年3月の越境規則の下では、非CIIO（重要情報インフラ運営者でない事業者）が暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証のいずれも免除されます。 |
| データの国内保存 | CIIOまたは大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）。これはどのOktaのセルも満たせません。 |
| 到達できるか | はい。北京の家庭用回線からの試行（2026-08-30）では、okta.comは毎回応答し描画もされましたが、オフショアの第三者依存が停止したため、ナビゲーションは60秒以内に完了しませんでした。到達はできても瞬時ではなく、しかも到達性はコンプライアンス上の問いではありません。 |
Oktaのアイデンティティデータが実際に置かれる場所
Oktaはセルベースのアーキテクチャを採っています。各顧客の組織はセルに割り当てられ、そのセルがデータの物理的な所在地です。Okta自身のデータレジデンシー資料では、「データレジデンシーとは、組織のコンテンツが実際に保存される地理的な場所を指す」 とされ、「データレジデンシーのニーズに応えるため、Oktaは顧客データを保存するローカルセルを購入できるセルアーキテクチャを用意した」 とされています。そしてセルそのものは 「米国・EMEA・日本・オーストラリア・カナダ・インドにある（プライマリとフェイルオーバーの両方）」 とされています。
このリストこそ、中国にとっての要点です。そこに中国本土の項目はありません。本土に最も近いセルは日本にありますが、それでも本土の外です。したがって、組織が中国のユーザーを認証した瞬間に、Oktaがそのユーザーのために書き込むアイデンティティ・プロフィール・ログイン記録は海外に保持されます。そしてそれが——遅延ではなく——中国のデータ関連法が反応する対象です。
中国のユーザーをOktaで扱うと、アイデンティティデータは国境を越える
貴社がOktaを通じて認証する個人情報——氏名、メールアドレス、ログインID、グループ所属、認証ログ——は、その一つのオフショアのセルに書き込まれます。中国の個人情報保護法（PIPL）（英語）の下では、それを本土の外に保存することは越境移転に当たり、義務は個人情報の取扱者、すなわちプラットフォームとしてのOktaではなく、Oktaの顧客である貴社に課されます。PIPLはその取扱者に対し、対象となるユーザーへの通知、当該移転についての個別の同意の取得、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）のクリアを求めます。「すでにOktaを使っている」ことは、そのいずれも満たしません。中国に到達することと、中国ユーザーのアイデンティティデータを本土の外へ移すことが認められることは、別の問いです。
どれだけのリスクかは、量と役割で変わる
これらの義務の重さは一律ではありません。CACの2024年3月の「データ越境移転の促進と規範化に関する規定」の下では、重要情報インフラ運営者（CIIO）でなく、暦年で10万人未満の非センシティブ個人情報を移転する取扱者は、安全評価・標準契約・認証のいずれも免除されます。小規模なデプロイにとっては、確かに軽い経路です。
反対の端では、CIIOまたは大量取扱者はデータの国内保存義務を負います。中国で収集した個人情報は中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）。中国にセルを持たないOktaはこれを満たせません。中国ユーザーのアイデンティティデータを中国の地に留める唯一の方法は、そのアイデンティティと保存を中国本土内のインフラ上で運用することであり、それを合法的に立ち上げるにはICP備案が視野に入ります。
到達はできても、オフショアから配信される——だからこそこれはデータの問いだ
Oktaは中国から遮断されているわけではありません。21YunBoxが中国本土内から行った計測——2026-08-30、北京の家庭用ブロードバンド回線——では、okta.comは3回の試行すべてで応答し描画され、TTFBの中央値は1,049ms、LCPは3,052msでした。しかし3回とも、60秒の計測ウィンドウ内にナビゲーションは完了しませんでした。3つのオフショアの第三者依存——Google Fonts、Google Tag Manager、そしてOneTrustの位置情報呼び出し——が停止して返ってこなかった一方で、Okta自身のホストはすべてのリクエストに応答していました。これが、中国本土内から見たオフショアのアイデンティティ配信の実態です。コンテンツは届くのに、体験は越境のラウンドトリップと、それが引き連れてくるものに左右されます。
ただし到達性は配信の問いであって、コンプライアンスの問いではありません。仮にすべてのバイトが瞬時に届いたとしても、アイデンティティは依然としてオフショアに保存されており、PIPLが反応するのはその事実です。
これは判定ではなくリスクの見取り図です。通知と同意だけで足りるのか、完全な移転メカニズムが必要なのか、あるいはアイデンティティデータそのものの国内保存が必要なのかは、保持する個人情報の量と、貴社の役割がCIIOや大量取扱者の区分に入るかどうかで変わります。構築の前に、専門家と整理すべき問いです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
Oktaはそのまま運用し続けます。アイデンティティプロバイダーは動かしません。当社が加えるのは、中国本土にセルを持たないアイデンティティ基盤が単独では提供できないレイヤー——既存オリジンの前段に置く、法令に沿ったICP備案済みの中国本土内からの配信です。再設計も、二つ目のコードベースも要りません。まず当社の中国チームが、貴社の法人と取扱データ量に照らして、越境とデータ国内保存の義務を整理します。そのうえで、法が最も厳しく扱う場合——中国ユーザーのアイデンティティデータを本土内に留めなければならない場合——には、Oktaを今動いている場所に残したまま、合法的な中国拠点に必要な中国国内からの配信と保存の立ち上げを支援します。
関連する読み物：
よくあるご質問
Oktaは中国ユーザーのアイデンティティデータを中国に保存しますか？
いいえ。Okta自身のデータレジデンシー文書によれば、顧客データは組織に割り当てられたセルに保存され、そのセルは米国・EMEA・日本・オーストラリア・カナダ・インドにあり、中国本土にはありません。したがって中国ユーザーのアイデンティティ・プロフィール・ログイン記録はオフショアに保持されます。
中国でOktaを使うのは違法ですか？
本質的に違法ではありません。問題は個人情報の越境移転であり、PIPLは、通知し、個別の同意を取得し、移転メカニズムのいずれかを満たせばこれを認めます。さらにデータ国内保存の義務を負うかどうかは、役割（例えばCIIOか否か）と取り扱う個人情報の量によります。一律の禁止ではなく、専門家と評価すべきリスクとして扱ってください。
21YunBoxはOkta設定を中国で法令適合にする手助けができますか？
はい。当社の中国チームが、取扱データ量と役割に照らして越境とデータ国内保存のリスクを評価し、法令に沿ったICP備案済みの中国国内からの配信を——そして法が求める場合は中国ユーザーのアイデンティティデータの国内保存も——立ち上げます。お問い合わせいただければ、個別のケースを一緒に整理します。
