Quayは中国で使えるか：データレジデンシー、ICP、越境ルール
Quay.io上の貴社のプライベートなコンテナイメージは、独自コードをレイヤーに焼き込み——しばしばシークレットを埋め込み——Red Hatのホスト型レジストリでは米国のAWS us-east-1にオフショアで置かれます：到達性ではなく、データレジデンシーとPIPLの越境の問いです。Red Hat Quayを国内で自己ホストすれば、それらは国内に留まります。
Does Quay work in China?
Quayが中国で「使える」かは誤った問いです——Quay.io上の貴社のプライベートなコンテナイメージは、貴社の独自コードをそのレイヤーに焼き込み、Red Hatのホスト型レジストリではオフショアに存在します。それが——上海のノードがイメージをプルできるかではなく——構成が弁護可能かを決めるものです。
Red Hat自身の言葉で、Quay.ioは「コンテナイメージを保存・ビルド・配布するためのホスト型レジストリサービス」で、そこでは「開発者はプライベートリポジトリを作成し、機微なコードや独自コードを組織内で安全に保てる」——主に米国のAWS us-east-1でホストされるサービスです。だから貴社のプライベートイメージと、そのレイヤーが日常的に埋め込む認証情報・トークン・ビルド設定は本土の外に置かれ、中国クラスターのイメージのサプライチェーンはプルのたびに国境を越えます。国外に保持されると、それらのレイヤーの中のあらゆる個人データやシークレットはPIPLが規律する越境移転であり、CIIOや大量取扱者にはデータ国内保存の義務（第39条（旧第37条））が逆の方向を指します。Red Hat Quay——ベンダー自身の自己ホスト可能なエディション——または Harbor のような自己ホストのレジストリを、本土の内側で動かせば、それらのプライベートイメージと埋め込まれたシークレットは国内に留まります。
これは判定ではなくリスクの描像です——義務は、プライベートイメージが何を帯びるか、誰がプッシュするかによって変わります。当社の中国チームが、貴社のQuayのレジデンシーとイメージのサプライチェーンのエクスポージャーを一緒に整理します →
コンプライアンス・スナップショット
- ! Quay.io上の貴社のプライベートイメージは、独自コードをそのレイヤーに焼き込む
- ! それらのレイヤーは、国外に置かれる認証情報・トークン・ビルド設定を日常的に埋め込む
- ! Quay.ioはRed Hatのホスト型レジストリで、主にAWS us-east-1——オフショア
- ! 中国クラスターのイメージのサプライチェーンは、それらをプルするため国境を越える
- ! 到達性チェックは、プライベートイメージとシークレットがどこに存在するかを決して見ない
- ✓ レバー：Red Hat Quayまたはプライベートレジストリを国内で自己ホストし、国内に留める
Quayの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Red Hat自身の言葉で：Quay.ioは「コンテナイメージやその他の成果物を保存・ビルド・配布するためのホスト型レジストリサービス」であり、「開発者はプライベートリポジトリを作成し、機微なコードや独自コードを組織内で安全に保てる」。それらのプライベートイメージは貴社の独自コードをそのレイヤーに焼き込み、ビルドの認証情報・APIトークン・設定を日常的に埋め込む。Quay.ioは主に米国のAWS us-east-1でホストされる——オフショア。RedHatはそれについて中国本土のリージョンを公表していない（現状はRed Hatにご確認を）。ノードがイメージをプルすることは、そのコードが国内に存在することと同じではない。 | Red Hat — About Quay.io overview、2026-10-13 取得 |
| 本物の国内経路が、ベンダー自身によって出荷されて存在する：Red Hat Quay、同じレジストリの自己デプロイ可能なエディションである。Red Hatはそれが「スタンドアロンのコンポーネントとして、またはRed Hat OpenShiftの上で動くものとして利用できる」と文書化する——つまり貴社自身のインフラで動かす。それ（または Harbor のような自己ホストのレジストリ）を本土の内側にデプロイすれば、貴社のプライベートイメージ、ビルド成果物、そのレイヤーに焼き込まれたシークレットは国内に留まり、中国クラスターのイメージのサプライチェーンは国内に保たれる。 | Red Hat — Red Hat Quay product page、2026-10-13 取得 |
| 重要情報インフラ運営者または大量取扱者にとって、中国で収集・生成した個人情報と重要データは本土の内側に保存し、エクスポート前に安全評価を経なければならない——サイバーセキュリティ法のデータ国内保存ルール、2026年1月1日施行の2025年改正によって繰り下げられた第39条（旧第37条）である。オフショアのレジストリに保持されるプライベートイメージとビルド成果物には、それを満たす本土の足場がない。 | 中華人民共和国サイバーセキュリティ法 第39条（旧第37条）；2025年改正、2026-01-01施行 |
| ロボットアカウントとユーザーの識別子、アクセスログ、イメージのレイヤーに焼き込まれたシークレット、そしてプライベートイメージの中のあらゆる個人データは、オフショアのレジストリに保持されるとPIPLの越境移転である（第38〜40条）：取扱者は、通知を行い、個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければならない。 | 中華人民共和国個人情報保護法 第38〜40条；CACの越境ルール（2024年3月） |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土の運用にとって、Quayをめぐる決め手となる問いは、上海のノードが公開のベースイメージをプルできるか、ではありません——貴社の プライベート なコンテナイメージがどこに存在するか、それらが何を帯びるか、そしてどんな法的根拠でそこに置かれたか、です。コミュニティのイメージをプルすることは到達性の話題であり、構成が弁護可能かを決めるものではありません。Quay.io上の貴社のプライベートイメージは別物です：コンテナイメージは貴社の独自コードをそのレイヤーに焼き込み、それらのレイヤーはビルドの認証情報、APIトークン、レジストリ認証、設定を日常的に運び——ときにデータも一緒に乗せます。Red Hatのホスト型レジストリであるQuay.ioにプッシュされると、その凝縮された知的財産はオフショアに置かれ、中国クラスターのイメージのサプライチェーン——どのイメージが、どんな来歴と完全性で、本土で動くか——はプルのたびに国境を越えます。これを決めるのはプルのレイテンシではなく、レジデンシーと越境移転です。
Quayは中国で使えるか：ひと目で
| 決め手 | 中国本土にとっての意味 |
|---|---|
| プライベートイメージが何を持つか | プライベートなコンテナイメージは、貴社の独自コード——営業秘密——をそのレイヤーに焼き込み、ビルドの認証情報、APIトークン、レジストリ認証、設定を日常的に埋め込み、ビルド中にレイヤーに焼き込まれたあらゆるデータを加えます。 |
| レジストリがどこで動くか | Quay.ioにプッシュされると、プライベートイメージはRed Hatのホスト型レジストリに存在し、Red Hatはそれを主に米国のAWS us-east-1でホストされると文書化します——オフショアです。RedHatはQuay.ioについて中国本土のリージョンを公表していません（現状はRed Hatにご確認を）。 |
| データレジデンシー | CIIOや大量取扱者にとって、中国で収集した個人情報と重要データは本土に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条））——オフショアのレジストリでは満たせない義務です。 |
| 越境移転 | ロボットアカウントとユーザーの識別子、アクセスログ、イメージのレイヤーに焼き込まれたシークレット、そしてプライベートイメージの中のあらゆる個人データは、オフショアに保持されるとPIPLの越境移転です（第38〜40条）：通知、個別の同意、そして移転メカニズムのいずれか一つ。 |
| デプロイのサプライチェーン | オフショアのレジストリからプルする中国クラスターは、イメージのサプライチェーンを国境越しに走らせます。レジストリのミラーやプルスルーのキャッシュはプルを速くします——プライベートイメージやシークレットを国内に移しはしません。 |
| レジデンシーのレバー | Red Hat Quay——ベンダー自身の自己ホスト可能なエディション——または Harbor のような自己ホストのレジストリを、本土の内側で動かせば、プライベートイメージ、ビルド成果物、埋め込まれたシークレットは国内に留まります。 |
第一の扉——プライベートイメージは独自コードであり、レジデンシーはそのホスト先に従う
レジストリが何を保持するかから始めましょう。それが中国の法の相手だからです。Quay.ioの公開側はコミュニティのイメージを配布しますが、それはこれを決める部分ではありません。貴社の プライベート なリポジトリは別物です：コンテナイメージは貴社の独自コードをそのレイヤーに焼き込む成果物——社内サービス、ビルドツール、貴社の知的財産の凝縮された断面——であり、それらのレイヤーは焼き込まれた認証情報、APIトークン、レジストリ認証、設定を日常的に運び、ときにデータのフィクスチャも一緒に乗ります。Red Hat自身の言葉で、Quay.ioは “a hosted registry service for storing, building, and distributing container images and other artifacts,”（コンテナイメージやその他の成果物を保存・ビルド・配布するためのホスト型レジストリサービス）で、そこでは “developers can create private repositories, ensuring sensitive or proprietary code remains secure within their organization.”（開発者はプライベートリポジトリを作成し、機微なコードや独自コードを組織内で安全に保てる）。
そのホスティングが要点です。Quay.ioはRed Hatのホスト型サービスで、Red Hatはそれを主に米国のAWS us-east-1でホストされると文書化します——中国本土のリージョンはありません（推測せずRed Hatに直接確認する価値があります）。貴社が重要情報インフラ運営者であるか、個人情報を大量に取り扱う場合、中国で収集・生成した個人情報と重要データは本土に保存し、エクスポート前に安全評価を経なければなりません——サイバーセキュリティ法のデータ国内保存ルール、2026年1月1日施行の2025年改正によって繰り下げられた第39条（旧第37条）です。貴社の独自イメージとその中に焼き込まれたシークレットを保持するオフショアのレジストリには、それを満たす本土の足場がありません。
第二の扉——イメージの来歴、埋め込まれたシークレット、越境する識別子
第二の扉はPIPLと、中国クラスターで動くものの完全性です。プライベートレジストリはイメージのレイヤー以上を運びます：誰がイメージをプッシュ・署名・昇格したかのロボットアカウントとユーザーの識別子、アクセスと監査のログ、レイヤーに焼き込まれた認証情報とトークン、そしてイメージの内容やビルドのメタデータに入り込むあらゆる個人データ。個人情報保護法の下で、そのデータを本土の外のインフラに保持することは越境移転（第38〜40条）です：取扱者は、通知を行い、移転についての個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければなりません。そもそもイメージのレイヤーに焼き込まれるシークレットと個人データを最小化することは直しの一部ですが、それ自体ではストアを動かしません。そして中国クラスターはレジストリが動く場所からイメージをプルするため、中国デプロイで動くものの来歴と完全性も国境越しに規律されます——接続性チェックが決して浮かび上がらせないソフトウェアサプライチェーンのエクスポージャーです。
なぜ到達性チェックはこれを見逃すのか
「上海からノードがイメージをプルできるか」というテストは、誤った問いに答えます。レジストリのミラーやプルスルーのキャッシュ、または接続性のチューニングは、イメージのプルがどれだけ速く確実に完了するかを変えます——貴社のプライベートイメージ、その埋め込まれたシークレット、そしてイメージの来歴が実際にどこに存在するかは変えません。だから構成は中国の内側から完全に健全に見えつつ、すべてのプライベートイメージ、レイヤーに焼き込まれたすべてのトークン、すべてのロボットアカウントの記録が依然として us-east-1 にオフショアで置かれえます。上記のレジデンシーと越境の問いが到達性プローブに見えないのは、まさにイメージがプルされ続けるからです——だからこそ効く動きは、オフショアのストアを単に到達可能にする・ミラーすることではなく、プライベートストアを国内に移すことなのです。当社は中国の内側からの Quay.io 接続性について一次測定を公表していないので、ここに数値は置きません。それは断言するより、貴社の実際の構成に照らして測るべきものです。
これは判定ではなくリスクの見取り図です：国内のストレージ、移転メカニズム、作り直した同意フロー、公開の開発者ポータルのためのICP備案、あるいはその組み合わせを要するかは、プライベートイメージが何を帯びるか、どれだけか、誰がプッシュするかによって変わります——構築の前に専門家と固める価値があります。
レバー——map・localize・deliver
Quayは自身の自己ホスト可能なエディションを出荷するので、本物の一次（ファーストパーティ）の国内経路があります。そして21YunBoxはいかなる種類の不正な手段も用いず、また推奨しません。
- Map（整理） — どのイメージがプライベートか（貴社の独自コード）、そのレイヤーが認証情報・トークン・設定を埋め込むか、レジストリとクラスターのSecretが今日どこに存在するか、レジデンシーの根拠、そして中国クラスターのイメージのサプライチェーンがどう国境を越えるかを棚卸しします。
- Localize / govern（国内化・統治） — プライベートレジストリを 本土の内側 で動かし（自己ホスト——Red Hat Quay、その自己ホスト可能なエディション、または貴社自身のインフラの Harbor のような自己ホストのレジストリ）、独自イメージと埋め込まれたシークレットを国内に留め、中国クラスターのイメージのサプライチェーンを国内に保ち、国境を越えるものを最小化します。
- Deliver（配信） — オフショアのサービスの前段に（または置き換えとして）、法令適合の国内のプライベートレジストリとイメージ配信を置きます。21YunBoxが、作り直しなしでその国内レイヤーを立ち上げます。
公開レジストリを単に到達可能にする・ミラーすることは答えではありません——プライベートイメージとシークレットは依然としてオフショアにあり、それらをより速くプルしてもそれは変わりません。プライベートレジストリとイメージの成果物を国内に保つことが答えです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
貴社はQuayをそのまま使い続けます。当社は、オフショアのレジストリが単独では提供できない部分を加えます：自己ホストのプライベートレジストリ——Red Hat Quay、ベンダー自身の自己ホスト可能なエディション、または Harbor のような自己ホストのレジストリ——の、合法的で国内の置き場所です。これによって、貴社の独自イメージ、ビルド成果物、埋め込まれたシークレットが、法が求める国内に留まり、その前段には、開発者アクセスとあらゆる公開ポータルのための法令適合のICP備案済みの配信が置かれます——すでに運用中の構成の周りに配置され、作り直しも、二つ目のコードベースも、ツールチェーンからの移行もありません。すでに運用中のツールチェーンへのパートナーとして、当社の中国チームは貴社の法人とパイプラインに照らしてPIPLの越境・同意・データレジデンシーの義務を整理し、弁護可能な中国拠点に必要な国内のレジストリと配信を立ち上げます。当社はいかなる種類の不正な手段も用いず、また推奨しません。
関連する読み物：
よくあるご質問
私たちは中国でQuayを使えますか？
公開のベースイメージをプルすることは到達性の問いで、本当の問いではありません。決め手となる問題は、貴社のプライベートなコンテナイメージ——認証情報とトークンを日常的に埋め込むレイヤーに焼き込まれた貴社の独自コード——で、Quay.ioでは米国のAWS us-east-1にオフショアで置かれ、そして中国クラスターのイメージのサプライチェーンが、プルのたびに国境を越えます。どちらもレジストリを自己ホストすることで国内に保てます。それが——イメージの到達性ではなく——構成を弁護可能にするものです。
Quay.ioはプライベートイメージを中国本土でホストしますか？
Red HatはQuay.ioを主に米国のAWS us-east-1でホストされるホスト型レジストリサービスと文書化し、それについて中国本土のリージョンを公表していません（現状はRed Hatにご確認を）。だからQuay.ioにプッシュされたプライベートイメージはオフショアのインフラに置かれます。国内の代替はRed Hat Quay——ベンダー自身の自己ホスト可能なエディション——または Harbor のような自己ホストのレジストリを、本土の内側の貴社自身のインフラで動かすことで、プライベートイメージと埋め込まれたシークレットを国内に留めます。
21YunBoxは私たちのQuayの構成を中国で法令適合にできますか？
はい。当社の中国チームが、貴社のプライベートイメージがどこに存在するか、そのレイヤーがどんなシークレットと個人データを運ぶか、中国クラスターのイメージのサプライチェーンがどう国境を越えるかを整理し、それから、すでに運用中の構成の前段に、法令適合の国内のプライベートレジストリとイメージ配信を立ち上げます——作り直しも、ツールチェーンからの移行もありません。個別のスタックの検討はお問い合わせください。
