Red Hat OpenShiftは中国本土で使えるか：データの国内保存・ICP・越境ルール
OpenShiftのコントロールプレーン、組み込みのイメージレジストリ、そしてSecretには、独自コード・資格情報・トークンが集中します——そしてマネージドクラウド版のOpenShiftはそのコントロールプレーンをオフショアに置きます。これは到達性ではなく、データの国内保存とPIPL越境の問いです。中国国内で運用するセルフマネージドのOpenShiftなら、プライベートイメージとシークレットを国内にとどめられます。
Red Hat OpenShiftは中国本土で使えるか
Red Hat OpenShiftが中国で「使えるか」は問いの立て方が誤りです——重要なのは、クラスターのコントロールプレーン、組み込みのイメージレジストリ、そしてSecretがどこに置かれるかであり、マネージドクラウド版のOpenShiftはそのコントロールプレーンをオフショアに置きます。 上海のノードがイメージを取得できるかではなく、これこそが構成を弁明可能にするかを決めます。
Red HatはOpenShiftを二つの形で提供します。"Fully managed in the public cloud of your choice"のマネージド「Cloud services editions」と、"Granular control on your own infrastructure"を提供する「Self-managed editions」です。OpenShiftの組み込みレジストリ——"OpenShift Container Platform provides a built-in container image registry that runs as a standard workload on the cluster"——はプライベートイメージを保持し、それらは独自コードをレイヤーに焼き込み、資格情報とトークンを埋め込みます。一方、クラスターのSecretオブジェクトはパスワードやプライベートリポジトリの資格情報を保持します。マネージドクラウドのコントロールプレーンでは、その集中したコードとシークレットが国外に置かれ、中国デプロイのイメージとチャートのサプライチェーンは国境をまたいで解決されます。オフショアに保持すれば、あらゆる個人データやシークレットはPIPLが規律する越境移転であり、CIIOや大量取扱者にはデータの国内保存（英語）義務（第39条（旧第37条））が逆向きを指します。自前の中国国内インフラでセルフマネージドのOpenShiftを、中国国内のレジストリとともに運用すれば、プライベートイメージ・Secret・ワークロードデータを国内にとどめられます。
これは判定ではなくリスクの全体像です——義務は、イメージとSecretが何を運ぶか、貴社の法人種別によって変わります。当社の中国チームが、OpenShiftのデータ保存場所とサプライチェーンの露出を一緒に整理します →
コンプライアンス・スナップショット
- ! マネージドクラウドのOpenShiftは、クラスターのコントロールプレーンとレジストリをオフショアに置く
- ! 組み込みのイメージレジストリはプライベートイメージを保持——レイヤーに独自コード
- ! クラスターのSecretはパスワード・トークン・資格情報を保持——オフショアでは国外に置かれる
- ! 中国デプロイのイメージとチャートのサプライチェーンは国境をまたぐ
- ! 「ノードがイメージを取得できるか」というチェックは、イメージとSecretの所在を映さない
- ✓ 梃子：セルフマネージドのOpenShift＋中国国内のレジストリで、イメージとSecretを国内にとどめる
Red Hat OpenShiftの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Red HatはOpenShiftを二つの形で提供します。「Self-managed editions」では"Granular control on your own infrastructure"（自前のインフラ上できめ細かく制御）を提供し、Red Hat OpenShift Container Platformを"A complete platform with services and tools to develop, operate, and modernize applications"（アプリを開発・運用・近代化するサービスとツールを備えた完全なプラットフォーム）と説明します。マネージドの「Cloud services editions」は"Fully managed in the public cloud of your choice"です。マネージドクラウドのコントロールプレーンはベンダーのオフショアのインフラで動き、セルフマネージド版は自前のインフラ——中国国内を含む——で運用するものです。 | Red Hat — Red Hat OpenShift 製品ページ、2026-10-13取得 |
| OpenShiftは、プライベートイメージとシークレットをクラスター上に集中させます。 Red Hatのドキュメントは"OpenShift Container Platform provides a built-in container image registry that runs as a standard workload on the cluster"（クラスター上で標準ワークロードとして動く組み込みのコンテナイメージレジストリを提供する）——クラスターがビルドするイメージのストアであり、動かすワークロードのソース——と述べ、Secretが"provides a mechanism to hold sensitive information such as passwords, OpenShift Container Platform client configuration files, private source repository credentials, and so on"（パスワード、クライアント設定ファイル、プライベートソースリポジトリの資格情報などの機微情報を保持する仕組みを提供する）と記します。そのプライベートイメージは独自コードをレイヤーに焼き込みます。マネージドクラウドのコントロールプレーンで動かせば、そのレジストリとSecretはオフショアに置かれ、中国国内で運用するセルフマネージドのクラスターなら国内にとどまります。 | Red Hat OpenShift Container Platform 4.17 ドキュメント — Registry overview；Nodes（secrets）、2026-10-13取得 |
| 重要情報インフラ運営者（CIIO）や大量取扱者の場合、中国で収集・生成した個人情報と重要データは中国本土内に保存しなければならず、輸出の前には安全評価が必要です——サイバーセキュリティ法のデータ国内保存ルール、2026-01-01施行の2025年改正で番号を付け替えられた第39条（旧第37条）です。オフショアのインフラに保持するクラスターのコントロールプレーン・レジストリ・Secretには、これを満たす中国本土の足場がありません。 | 中華人民共和国サイバーセキュリティ法 第39条（旧第37条）；2025年改正、2026-01-01施行 |
| ワークロードのデータ、クラスターのアクセス・監査ログに含まれるアイデンティティ、埋め込まれたシークレット、そしてイメージやSecretの中のあらゆる個人データをオフショアのコントロールプレーンに保持することは、PIPLの越境移転です（第38〜40条）。取扱者は、通知を行い、個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければなりません。 | 中華人民共和国個人情報保護法 第38〜40条；CAC越境ルール（2024年3月） |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土での運用にとって、Red Hat OpenShiftをめぐる決め手は、上海のノードが公開ベースイメージを取得できるかどうかではありません。クラスターのコントロールプレーン、組み込みのイメージレジストリ、そしてSecret（シークレット）がどこに置かれ、何を保持し、どんな法的根拠でそこに来たのか、です。コミュニティのイメージやオープンソースのチャートを取得することは到達性の話題であって、貴社の構成が弁明可能かどうかを決める部分ではありません。プライベートな イメージは別です。コンテナイメージは貴社の独自コードをそのレイヤーに焼き込んだ成果物であり、通例、ビルド用の資格情報・APIトークン・設定を埋め込みます。Helmチャートはそのデプロイパッケージとシークレット参照を運び、稼働中のクラスターはワークロードとSecretを保持します。OpenShiftはまさにこれ——統合レジストリとクラスターのSecretオブジェクト——を一か所に集中させます。マネージドクラウド版のOpenShiftでは、そのコントロールプレーンとレジストリがベンダーのオフショアのインフラ上で動き、中国デプロイのイメージとチャートのサプライチェーンは国境をまたいで解決されます。これを決めるのは読み込み時間ではなく、データ保存場所と越境移転です。
Red Hat OpenShiftは中国で使えるか：ひと目で
| 決め手 | 中国本土にとっての意味 |
|---|---|
| プライベートイメージとチャートが保持するもの | プライベートイメージは貴社の独自コードをそのレイヤーに焼き込み、通例、ビルド用の資格情報・APIトークン・設定を埋め込みます。Helmチャートはそのデプロイパッケージとシークレット参照を運びます。これは接続性の細目ではなく、集中した知的財産です。 |
| コントロールプレーンとレジストリが動く場所 | マネージドクラウド版のOpenShiftでは、コントロールプレーンと組み込みレジストリがベンダーのオフショアのインフラ上で動きます。自ら展開するセルフマネージドのOpenShiftは、置いた場所——中国国内を含む——で動きます。 |
| クラスターのSecret | OpenShiftは、パスワード・トークン・クライアント設定・プライベートリポジトリの資格情報をクラスター上のSecretオブジェクトに保存します。オフショアのコントロールプレーンでは、それらがそれを参照するイメージと並んで国外に置かれます。 |
| データの国内保存 | CIIOや大量取扱者の場合、中国で収集した個人情報と重要データは中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条））——オフショアのコントロールプレーンとレジストリでは満たせない義務です。 |
| 越境移転 | ワークロードのデータ、クラスターのアクセス・監査ログに含まれるアイデンティティ、そしてイメージやSecretの中のあらゆる個人データをオフショアに保持することは、PIPLの越境移転です（第38〜40条）——通知、個別の同意、そして移転メカニズム一つ。 |
| デプロイのサプライチェーン | イメージとチャートをオフショアのレジストリから解決する中国クラスターは、サプライチェーンを国境をまたいで走らせます。レジストリのミラーやキャッシュは解決を速くするだけで、プライベートイメージやSecretを中国国内へ移すものではありません。 |
| データ保存場所の梃子 | 中国国内のインフラで運用するセルフマネージドのOpenShiftを、中国国内のプライベートレジストリと組み合わせれば、プライベートイメージ・チャート・Secret・ワークロードデータを国内にとどめられます。 |
第一の扉——プライベートイメージとSecretは独自コードであり、データ保存場所はコントロールプレーンの所在に従う
クラスターが何を保持しているかから始めましょう。それが中国の法の応じる対象だからです。コミュニティのベースイメージを供給する公開レジストリは到達性の話題であって、ここを決める部分ではありません。OpenShift自身のレジストリは、貴社が公開しないものの正式なストアです。Red Hatは”OpenShift Container Platform provides a built-in container image registry that runs as a standard workload on the cluster”（OpenShift Container Platformは、クラスター上で標準ワークロードとして動く組み込みのコンテナイメージレジストリを提供する）と記しています——クラスターがビルドするイメージの公開先であり、クラスターが動かすワークロードのソースです。それらのプライベートイメージは貴社の独自コードをそのレイヤーに焼き込み、埋め込まれた資格情報とトークンを運びます。その傍らで、クラスターのSecretオブジェクトが残りを保持します。Red Hatの言葉では、“The Secret object type provides a mechanism to hold sensitive information such as passwords, OpenShift Container Platform client configuration files, private source repository credentials, and so on.”（Secretオブジェクト型は、パスワード、OpenShift Container Platformのクライアント設定ファイル、プライベートソースリポジトリの資格情報などの機微情報を保持する仕組みを提供する）。
それがどこに置かれるかが要点です。Red HatはOpenShiftを二つの形で提供します。マネージドの”Cloud services editions”は”Fully managed in the public cloud of your choice”（選んだパブリッククラウドで完全にマネージド）——コントロールプレーンとそのレジストリはベンダーのオフショアのインフラ上で動きます。“Self-managed editions”は”Granular control on your own infrastructure”（自前のインフラ上できめ細かく制御）——自らインストールし、好きな場所で運用するクラスターです。重要情報インフラ運営者（CIIO）であるか、個人情報を大量に取り扱う場合、中国で収集・生成した個人情報と重要データは中国本土内に保存しなければならず、輸出の前には安全評価が必要です——サイバーセキュリティ法（英語）のデータ国内保存ルール、2026年1月1日施行の2025年改正で番号を付け替えられた第39条（旧第37条）です。オフショアに保持するコントロールプレーン・レジストリ・Secretには、これを満たす中国本土の足場がありません。中国国内で運用するセルフマネージドのクラスターには、それがあります。
第二の扉——アイデンティティ、シークレット、サプライチェーンの来歴
第二の扉はPIPLと、中国本土で実際に動くものの完全性です。クラスターとそのパイプラインはコード以上のものを運びます。リリースをビルドし、署名し、昇格させた者のユーザー名やメールアドレス、アクセス・監査ログ、そしてイメージやSecretの中を一緒に移動するあらゆる個人データです。個人情報保護法（PIPL）の下では、そのデータを中国本土外のインフラに保持することは越境移転です（第38〜40条）。取扱者は、通知を行い、その移転について個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければなりません。そもそもイメージレイヤーやSecretに入り込むシークレットや個人データを最小化することは是正の一部ですが、それ自体ではストアを移すことにはなりません。そして中国クラスターはレジストリの動く場所からイメージとチャートを取得するため、中国デプロイに入るものの来歴と完全性もまた国境をまたいで規律されます——接続性チェックでは決して表に出ないソフトウェアサプライチェーンの露出です。
到達性チェックがこれを見落とす理由
「上海からイメージを取得できるか」というテストは、誤った問いに答えています。レジストリのミラーやキャッシュ、あるいは接続性のチューニングは、イメージやチャートの解決がどれだけ速く確実かを変えるだけで、プライベートイメージ・Secret・クラスターのコントロールプレーンが実際にどこに置かれているかを変えません。ですからデプロイは、プライベートイメージも、そこに焼き込まれたトークンも、Secret内のあらゆる資格情報も依然としてオフショアにあるのに、中国の内側からは完璧に健全に見え得ます。上のデータ保存場所と越境の問いが到達性プローブに見えないのは、まさに取得が成功し続けるからです——だからこそ重要な一手は、オフショアのコントロールプレーンを単に到達可能にしたりミラーしたりすることではなく、コントロールプレーン・レジストリ・Secretを中国国内へ移すことです。当社は中国国内からのOpenShiftレジストリ接続性について一次計測を公表していないため、ここに数値は置きません——主張するのではなく、貴社の実際の構成に対して計測すべきものです。
これは判定ではなくリスクの見取り図です。中国国内での保存、移転メカニズム、同意フローの作り直し、公開コンソールやイングレスのためのICP備案、あるいはそれらの組み合わせが必要かは、イメージとSecretが何を、どれだけ保持し、運用者が誰かによって変わります——構築の前に専門家と詰める価値があります。
梃子——マップ・ローカライズ・デリバー
OpenShiftが正真正銘のセルフマネージド版を提供しているからこそ、現実的な中国国内経路があり、21YunBoxは、いかなる不正な手段も用いず、推奨することもありません。
- マップ（把握） — どのイメージとチャートがプライベート（貴社の独自コード）か、それらが資格情報・トークン・設定を埋め込むか、コントロールプレーン・組み込みレジストリ・クラスターのSecretが今どこに置かれているか、データ保存の根拠、そして中国デプロイのイメージとチャートのサプライチェーンがどのように国境をまたぐかを棚卸しします。
- ローカライズ／統制（国内化） — セルフマネージドのクラスター、そのレジストリ、そのSecretを 中国国内 で運用し、プライベートイメージとチャートのための中国国内のプライベートレジストリ（Harbor、Nexus、Artifactoryなどのセルフホスト型レジストリ、またはRed Hat自身のセルフホスト可能なレジストリ）を備え、独自コードと埋め込まれたシークレットを国内にとどめます。中国デプロイのサプライチェーンを国内に保ち、国境をまたぐものを最小化します。
- デリバー（配信） — オフショアのコントロールプレーンの前段に（あるいはそれに代えて）、法令に沿った中国国内のセルフマネージドなクラスターとプライベートレジストリを置きます。21YunBoxは、作り直しなしでこの中国国内レイヤーを立ち上げます。
公開レジストリを単に到達可能にしたりミラーしたりするのは答えではありません——プライベートイメージ・チャート・Secretは依然としてオフショアにあり、それらを速く取得できても何も変わりません。コントロールプレーン・レジストリ・Secretを中国国内にとどめることが答えです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
OpenShiftは引き続き運用します。当社が加えるのは、オフショアのコントロールプレーンが単独では提供できないもの——セルフマネージドのクラスターとプライベートレジストリの、適法な中国国内の置き場所です。これにより、貴社の独自イメージ・チャート・そこに含まれるシークレットが、法の求める場所で国内にとどまり、その前段には、開発者アクセス・コンソール・公開イングレスのためのICP備案済みの配信が備わります——いずれも既存の構成の周りに配置し、作り直しも、二つ目のプラットフォームも、OpenShiftからの移行もありません。すでに運用中のツールチェーンへのパートナーとして、当社の中国チームが、貴社の法人格とパイプラインに照らしてPIPLの越境・同意・データ保存場所の義務を把握し、そのうえで弁明可能な中国プレゼンスに必要な中国国内のクラスター・レジストリ・配信を立ち上げます。当社は、いかなる不正な手段も用いず、推奨することもありません。
関連する読み物：
よくあるご質問
OpenShiftを中国で運用できますか？
公開ベースイメージを取得することは到達性の問いで、本当の問いではありません。決め手は、クラスターのコントロールプレーン、組み込みのイメージレジストリ、そしてSecret——貴社の独自コード・資格情報・トークン——がどこに置かれ、中国デプロイのイメージとチャートのサプライチェーンがどのように国境をまたぐかです。マネージドクラウド版のOpenShiftはコントロールプレーンをオフショアに置きます。中国国内で運用するセルフマネージドのクラスターを中国国内のレジストリとともに用いれば、それらを国内にとどめられます。イメージの到達性ではなく、これが構成を弁明可能にします。
中国コンプライアンスには、マネージドクラウドのOpenShiftとセルフマネージドのOpenShiftのどちらが良いですか？
Red Hatのマネージド「Cloud services editions」は、コントロールプレーンとレジストリをオフショアのパブリッククラウドのインフラで動かすため、プライベートイメージ・Secret・ワークロードデータが国外に置かれます。「Self-managed」のOpenShiftは"granular control on your own infrastructure"を与え、中国国内に展開できます——イメージ・チャート・Secret・ワークロードデータを国内にとどめられます。データ国内保存とPIPL越境ルールの下で中国運用を行うなら、弁明可能なのはセルフマネージドの中国国内経路です。
当社のOpenShift構成を、21YunBoxは中国でコンプライアントにできますか？
はい。当社の中国チームが、コントロールプレーン・レジストリ・イメージ・チャート・Secretの所在、それらが運ぶ資格情報と個人データ、そして中国デプロイのサプライチェーンがどのように国境をまたぐかを把握し、そのうえで既存の構成の前段にICP備案済みの配信を備えた、法令に沿う中国国内のセルフマネージドなクラスターとプライベートレジストリを立ち上げます——作り直しも、OpenShiftからの移行もありません。具体的なスタックはお問い合わせください。
