Prometheusは中国本土で使えるか：データの国内保存、ICP、越境ルール

Prometheusの公式ドキュメントが中国について述べていること

事実	一次情報源
Prometheusは貴社が自分で運用するソフトウェアである。自社のドキュメントはこう始まる：「Prometheusはオープンソースのシステム監視・アラートツールキット」。さらに「各Prometheusサーバーはスタンドアロンで、ネットワークストレージや他のリモートサービスに依存しない」とし、「スクレイプしたサンプルをすべてローカルに保存する」とする——だからサーバーと、それが保持するデータは、ベンダーの固定リージョンではなく、貴社がデプロイした場所に存在する。	Prometheus — Overview、prometheus.io ドキュメント、2026-10-13 取得
メトリクスはラベル付きの時系列として保存される。Prometheusのドキュメントは「メトリクスを時系列データとして収集・保存する」とし、「メトリクスの情報は、記録された時刻のタイムスタンプとともに、ラベルと呼ばれる任意のキー・バリューのペアと並べて保存される」とする。それらのラベルはユーザー・テナント・インスタンスの識別子を日常的に帯び、エクスポーターはリクエストレベルの詳細を浮かび上がらせえる——これが、保存される系列を匿名の機械データではなく個人情報にする。	Prometheus — Overview、prometheus.io ドキュメント、2026-10-13 取得
中国で収集したメトリクスをオフショアへ送ることは越境移転である。個人情報保護法の下で、本土で収集した個人情報をエクスポートするには、通知、エクスポートについての個別の同意、そして法定の移転メカニズムのいずれか一つ——CACの安全評価、標準契約、または認証——が必要である（PIPL 第38〜40条）。ラベルを墨消ししてもペイロードを絞るだけで、移転をなくしはしない。	中華人民共和国個人情報保護法 第38〜40条、2026-10-13 取得
CIIOや大量取扱者は国内保存を負う。重要情報インフラ運営者が中国で収集した個人情報と重要データは、本土に保存しなければならない（サイバーセキュリティ法 第39条（旧第37条）、2026年1月1日施行の2025年改正によって繰り下げ；PIPL 第40条）。Prometheusをオフショアでセルフホストしてもその義務は満たせず、国内でセルフホストすれば満たせる。	中華人民共和国サイバーセキュリティ法 第39条（旧第37条）；PIPL 第40条、2026-10-13 取得

情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。

中国本土にサービスを提供するチームにとって、Prometheusについての有用な問いは「それが動くか」であることはほぼありません——貴社が自分でデプロイし運用するオープンソースのソフトウェアなので、本土を含め、置いた場所で動きます。問いは、それが収集するメトリクスがどこに落ち着くか、そしてそのデータが合法的に中国を離れてよいか、です。Prometheusは集めたものを時系列として保存し、その系列のラベルはユーザー・テナント・インスタンスの識別子を日常的に帯びます。エクスポーターやレコーディングルールを通じて、リクエストレベルの詳細も浮かび上がらせえます。メトリクスは匿名の機械データのように感じられますが、識別可能な人に紐付いたラベル付きの系列は個人情報です。Prometheusのサーバー、あるいはその前段のダッシュボードに到達することは配信半分であり、系列がどこに保存されるかがリスクです。

中国でのPrometheus：ひと目で

Prometheusは貴社が運用するもの——そしてメトリクスが存在する場所の選択も貴社のもの

Prometheusは貴社が運用するオープンソースのソフトウェアなので、受け入れたり後悔したりするベンダーのリージョンはありません——デプロイ場所は完全に貴社のものです。そのドキュメントは明示的に 「各Prometheusサーバーはスタンドアロンで、ネットワークストレージや他のリモートサービスに依存しない」 とし、「スクレイプしたサンプルをすべてローカルに保存する」 とします。だからサーバーと、それが保持する時系列は、まさに貴社がデプロイした場所に落ち着きます。Prometheusを物理的に本土にあるインフラ上で動かせばメトリクスは国内に留まり、それを——あるいはその背後の長期のリモートライトのバックエンドを——オフショアで動かせば、中国で収集するすべての系列は国を離れます。外国リージョンの固定メニューを持つ純粋なSaaSツールと違い、Prometheusはレジデンシーの決定を丸ごと貴社に渡します。（マネージドでホスト型の「Prometheus互換」サービスは別個のオフショアの事柄です。このページは貴社が運用するオープンソースのサーバーについてのものです。）

Prometheusが保存するメトリクスは個人情報であり——スクラビングは扉を閉じない

可観測性のデータは本質的に匿名ではありません。Prometheusは 「メトリクスを時系列データとして収集・保存する」 もので、各サンプルは 「記録された時刻のタイムスタンプとともに、ラベルと呼ばれる任意のキー・バリューのペアと並べて保存される」 とされます。それらのラベルこそ、身元が入り込む場所です。ユーザーやアカウントのID、テナント、インスタンス、顧客に面したエンドポイント——そしてエクスポーターやレコーディングルールが、リクエストレベルの詳細も系列に引き込めます。ラベルに収まった本土の訪問者の識別子は、すでに中国の個人情報保護法（PIPL）の下での個人情報です。チームはスクラビング——高カーディナリティのラベルを落とす、IDをマスクする、個人情報をリラベルで取り除く——に手を伸ばし、それは行う価値があります。しかしそれは誤った半分に答えます。ラベルを落とすことは国境を越える もの を変えるのであって、越えるかどうか ではなく、レジデンシー——系列がそもそも中国に留まるか——には何もしません。墨消ししても依然として識別可能な系列をオフショアのバックエンドへ送ることは、やはり越境移転です。墨消しはリスクを下げるのであって、オフショアの宛先を合法にはしません。

越境移転、国内保存、そして中国向けのダッシュボード

本土の内側でメトリクスを収集し、国外にホストされたPrometheusサーバーや長期ストアへ送れば、法が規律する越境移転になります。個人情報保護法の下で、取扱者——Prometheusプロジェクトではなく貴社——は、通知を行い、エクスポートについての個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません（PIPL 第38〜40条）。貴社が重要情報インフラ運営者または大量取扱者であれば、中国で集めた個人情報と重要データは本土に保存もしなければなりません（サイバーセキュリティ法 第39条（旧第37条）——2026年1月1日に施行された2025年改正によって繰り下げ、PIPL 第40条）。そして中国の内側のユーザーに公開で提供されるダッシュボードには、本土のホスティングリソースに紐付いたICP備案が必要です。セルフホストはレジデンシーの問いに答えますが、それ自体では同意・移転・備案には答えません。

これは判定ではなくリスクの見取り図です。移転メカニズム、個別の同意、国内保存、ICP備案、あるいはその組み合わせを負うかは、メトリクスが実際に何を含むか、そのどれだけが個人情報か、取扱者としての役割、ユーザーが誰かによって変わります——いずれかのバックエンドにリモートライトを向ける前に、専門家と整理する価値があります。

なぜ到達性チェックはこれを見逃すのか

速度や到達性のテストは、Prometheusのサーバーが上海から応答するか、ダッシュボードが描画されるかを問います。どちらもたいてい通ります——エージェントがスクレイプし、サーバーが応答し、パネルが描かれます。そのテストが決して見ないのは、ラベル付きの系列がどこに落ち着くか、そしてその落ち着き先が合法かです。リスクはレイテンシではありません。中国で収集しオフショアに保存される個人情報のストリームと、どれだけスクラビングしても満たせないレジデンシー義務です。それが、到達性プローブが構造上測れない半分——そして監視が法令適合かを決める半分です。

合法的な経路——map・localize・deliver

中国本土向けに法令適合に運用するために、Prometheusを手放す必要はありません。三つの動きがあり、それらは組み合わさります。

Map（整理）。 当社の中国コンプライアンスチームが、貴社のテレメトリの義務を棚卸しします——どのメトリクスが個人情報を帯びるか、データ量や取扱者としての役割が国内保存義務を発動させるか、エクスポートにどのPIPL移転メカニズムが（もし必要なら）要るか、ICP備案がどこに付くか。何かを配線し直す前に、リスクが書き留められます。

Localize（国内化）。 留まるべきメトリクスは、国内の、同意に基づく処理と保存の足場に置きます——セルフマネージドのPrometheusとその背後のバックエンドを本土のインフラ上に——そして合法的にエクスポート可能なテレメトリだけを、チームがすでに使うグローバルなツールに届かせます。

Deliver（配信）。 貴社が運用する何であれ、その前段に、21YunBox Optimizerが中国向けのダッシュボードとオリジンのためのICP備案済みの国内からの配信を提供します——作り直しも、二つ目のコードベースも、Prometheusからの移行もありません。21YunBoxはいかなる種類の不正な手段も用いず、また推奨しません。眼目は、合法的で、備案済みの、国内の経路であることに尽きます。

目標は明快です。貴社の監視が、中国のユーザーに対して合法的かつ法令適合に稼働することです。

コンプライアンス評価を依頼する（英語） →

---

関連する読み物：

• 中国のICP備案の取得方法
• PIPLの下での越境データ移転
• 中国の個人情報保護法（PIPL）
• 中国のサイバーセキュリティ法とデータ国内保存

よくあるご質問

Prometheusは中国で使えますか？

素朴な意味では、はい——Prometheusは貴社が自分で運用するオープンソースのソフトウェアなので、本土を含めデプロイした場所で動きます。本当の問いは到達性ではなくレジデンシーです。Prometheusはメトリクスをラベル付きの時系列として保存し、それらのラベルはユーザー・テナント・インスタンスの識別子を日常的に帯びます。本土の内側で収集しオフショアにホストされたPrometheusサーバーや長期バックエンドへ送れば、それはPIPLの下での個人情報の越境移転です——ダッシュボードがどれだけ速く読み込まれるかにかかわらず規律されます。

保存前に個人情報のラベルを落としています——法令適合ですか？

スクラビングは行う価値がありますが、誤った半分に答えます。高カーディナリティや個人情報のラベルを落とすことは国境を越えるものを絞ります。越えるかどうかは変えず、レジデンシー——メトリクスが国内に留まるか——には何もしません。中国で収集し墨消ししても依然として識別可能な系列をオフショアのバックエンドに落とすことは、やはり越境移転であり、国内保存義務も依然として適用されます。墨消しはリスクを下げるのであって、それ自体ではオフショアの宛先を合法にしません。

21YunBoxはどう支援しますか？

Prometheusは貴社が運用するものなので、レジデンシーのレバーは、本土の内側のインフラ上でセルフマネージドして、中国に留まるべきメトリクスをそこに保ち、合法的にエクスポート可能なテレメトリだけをグローバルなツールに届かせることです。当社の中国チームが、どのメトリクスが個人情報を帯びるか、貴社の役割や量が国内保存義務を発動させるかを整理し、国内の、同意に基づく処理と保存を立ち上げ、中国向けのダッシュボードをICP備案と21YunBox Optimizerによる国内からの配信で——すでに運用中のスタックの周りに——担います。ケースの整理はお問い合わせください。