RubyGemsは中国本土で使えるか：データの国内保存・ICP備案・越境移転
プライベートgemは、認証情報や設定シークレットを日常的に埋め込む独自のRubyコードです。RubyGems.orgは公開のオフショアのgemホスティングサービスで、プライベートgemをオフショアのレジストリに置けば、その知的財産とそのシークレットは国外に置かれます——到達性テストではなく、PIPLの越境、データの国内保存、中国ビルドのサプライチェーンの問いです。セルフホストの国内プライベートgemサーバーは、それらを国内に留めます。
RubyGemsは中国本土で使えるか
中国本土でのRubyGemsの決め手は、ビルドがレジストリに到達できるかではなく、貴社のプライベートgemがどこに置かれるかです。プライベートgemは貴社の独自Rubyコードのパッケージで、認証情報や設定シークレットを日常的に埋め込むからです。
RubyGems.orgは公開のホスト型gemサービスで、ホスト型のプライベートレジストリもプライベートパッケージをオフショアに置きます——したがってその集約された知的財産、焼き込まれたシークレット、そして貴社の中国ビルドの依存サプライチェーンは本土の外に置かれます。それが、PIPLの越境移転の問い（第38〜40条）にし、CIIや大量取扱者にはサイバーセキュリティ法第39条（旧第37条）（英語）とPIPLの下でのデータの国内保存の問いにします——到達性テストではありません。
RubyGemsはセルフホストのプライベートgemサーバー（Gemstashやgeminaboxなど）をサポートするため、合法的な国内経路があります：プライベートレジストリとアーティファクトストアを本土で動かし、独自コードとシークレットを国内に留めます。21YunBoxが露出を整理し、国内で国内化し、ICP備案済みの開発者アクセスで作り直しなく配信します——合法的なデプロイであって、不正な手段ではありません。具体論は専門家と確認すべきリスクとして扱ってください。
コンプライアンス・スナップショット
- ! プライベートgemは、認証情報やシークレットを日常的に埋め込む独自コード。
- ! RubyGems.orgは本土の外のホスト型公開レジストリ。プライベートフィードもオフショアに置かれる。
- ! オフショアに保持される中国の個人データはPIPLの越境規則（第38〜40条）を発動させる。
- ! CSL第39条（旧第37条）は、中国のデータの国内保存を求め得る。
- ! 到達可能な公開レジストリは、プライベートgemやシークレットを国内に移さない。
- ✓ プライベートgemサーバー（Gemstashやgeminabox）を国内でセルフホストして国内に留める。
RubyGemsの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| RubyGems.orgは自分で動かすものではなく、ホスト型の公開サービス。自身のAboutページはこう始まる：「RubyGems.orgへようこそ。Rubyコミュニティのgemホスティングサービスです。」ホスト型のレジストリにプッシュされたプライベートパッケージは、セルフホストしない限りそのオフショアのインフラに置かれる。 | RubyGems.org — About（rubygems.org/pages/about、2026-10-13 取得） |
| RubyGemsは、組織のプライベートコードのためにセルフホストのプライベートgemサーバーをサポートする。公式ガイドは、gemとして配布したい「組織内部のプライベートコード」を持つことがあるとし、「組織内からgemをホストするサーバーを立てる選択肢がいくつかある」とし、Gemstashと「スタンドアロンのプライベートgemサーバー」（Gem in a Box）を指し示す。 | RubyGems Guides — Run your own gem server（guides.rubygems.org、2026-10-13 取得） |
| 中国の個人情報をオフショアのレジストリに保持することは越境移転。コントリビューターのアイデンティティとgemメタデータ内のあらゆる個人データは、本土の外に保持されると、PIPL第3章（第38〜40条）の下に入る：通知、個別の同意、そして移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証。 | PIPL第38〜40条；越境データ移転ガイドを参照（2026-10-13 取得） |
| CIIと大量取扱者は、中国のデータを国内に留めなければならない。中国で収集・生成した個人情報と重要データは国内に保存し、いかなるエクスポートの前にも安全評価を要する——2026年1月1日施行の2025年改正で再採番された、サイバーセキュリティ法第39条（旧第37条）のデータ国内化の規定。オフショアのインフラにはそれを満たす本土の足場がない。 | 中華人民共和国サイバーセキュリティ法 第39条（旧第37条）（2026-10-13 取得） |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土のオペレーションにとって、RubyGemsについての決め手は、上海のビルドがレジストリからパッケージを引けるかではありません——貴社のプライベートgemがどこに置かれることを許されるか、そしてどんな法的根拠でそこに至ったかです。レジストリには2つのまったく異なる顔があります。1つは、コミュニティの依存を解決する公開のオープンソースのカタログで、それを到達可能にすることは接続性の話題であり、ここでの論点ではありません。もう1つは、貴社の組織のプライベートでスコープされたgemです——そしてプライベートgemは、貴社の独自のRubyソースコードのパッケージ、営業秘密であり、焼き込まれた認証情報、APIトークン、設定シークレット、ときにテストフィクスチャの個人データを日常的に埋め込みます。RubyGems.orgは公開のホスト型gemサービスです。プライベートgemをオフショアのレジストリに置けば、その集約された知的財産のひとかたまりが、そのシークレットとともに本土の外に置かれます。それが、国内保存、越境移転、そして貴社の中国ビルドの依存サプライチェーン——読み込み時間ではなく——を、この構成が擁護可能かを決めるものにします。
RubyGemsは中国で使えるか：ひと目で
| 決め手 | 中国本土にとっての意味 |
|---|---|
| プライベートgemが何を保持するか | プライベートでスコープされたgemは、貴社の独自Rubyコードのパッケージ——営業秘密——であり、認証情報、APIトークン、設定シークレット、ときにテストフィクスチャの個人データを日常的に埋め込みます。 |
| レジストリがどこで動くか | RubyGems.orgは公開のホスト型gemサービスで、ホスト型のプライベートレジストリもプライベートgemをそのオフショアのインフラに置きます。公表資料は中国本土リージョンを名乗りません（現行のホスティングはプロバイダーに確認を）。 |
| データの国内保存 | CIIOまたは大量取扱者の場合、中国で収集した個人情報と重要データは本土内に保存しなければなりません（サイバーセキュリティ法第39条（旧第37条））——オフショアのインフラが満たせない義務です。 |
| 越境移転とサプライチェーン | コントリビューターのアイデンティティとgemメタデータ内のあらゆる個人データは、オフショアに保持されるとPIPLの越境移転です（第38〜40条）。そして貴社の中国ビルドの依存サプライチェーン——どのコードが、どんな来歴でデプロイに入るか——は国境を越えて走ります。 |
| 到達可能なレジストリでは足りない | 公開レジストリを到達可能にすること、または依存キャッシュを立てることは、プライベートgemやそのシークレットを国内に移しません——ストアは依然として、プライベートレジストリが動く場所に置かれます。 |
| 国内保存のレバー | RubyGemsはセルフホストのプライベートgemサーバー（Gemstashやgeminaboxなど）をサポートします。それを国内のインフラで動かせば、プライベートgem、アーティファクト、シークレットは国内に留まります——国内保存の問いに実際に答える、ただ一つの一手です。 |
扉その一——プライベートgemは貴社の知的財産の集約されたストアであり、国内保存は動かした場所に従う
プライベートgemとは何かから始めましょう。それが中国の法の反応する対象だからです。それはダウンロードする公開パッケージではありません。それは貴社のソースコードのアーティファクト——独自のRubyを、パッケージしバージョン管理し、内部で配布したもの——です。RubyGemsのガイドはそのケースを平たく枠づけます：公開せずにgemとして配布・管理したい「組織内部のプライベートコード」を持つことがある、と。それらのパッケージは、焼き込まれた認証情報とAPIトークン、設定シークレット、そしてときにテストフィクスチャを通じて紛れ込んだ個人データを日常的に運びます。それは1か所に置かれた、貴社の知的財産の集約されたひとかたまりです。
それらのプライベートgemをホスト型のオフショアのレジストリにプッシュすれば、その知的財産は、そのシークレットとともに本土の外に置かれます。プロバイダーの公表資料では、通常は中国本土リージョンがありません（前提にせず確認すべきことです）。重要情報インフラ運営者である場合、または大量に個人情報を扱う場合、中国で収集・生成した個人情報と重要データは本土内に保存し、いかなるエクスポートの前にも安全評価を要します——サイバーセキュリティ法（英語）のデータ国内化の規定、2026年1月1日施行の2025年改正で再採番された第39条（旧第37条）です。オフショアのインフラにはそれを満たす本土の足場がなく、独自コードと営業秘密の露出は、あらゆる個人データの問いと並行して走ります——個人データが絡むのを待ちはしません。
扉その二——中国ビルドへのサプライチェーンと、コントリビューターのデータ
2つ目の扉は、サプライチェーンとPIPLです。貴社の中国のデプロイは、解決するgemから組み立てられるため、どのコードが、どんな来歴と完全性で、そのビルドに入るかは、そのいずれかが国境を越えて至る貴社のプライベートコードである瞬間、ガバナンスの問いになります。バイナリと並んで、レジストリとその周りのパイプラインは、コントリビューターのアイデンティティ——誰がgemを公開・ビルド・昇格したか——、アクセスログ、そしてパッケージのメタデータに紛れ込むあらゆる個人データを運びます。個人情報保護法（PIPL）の下では、そのデータを本土の外のインフラに保持することは越境移転です（第38〜40条）：取扱者は、通知し、移転のための個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たさなければなりません。gemメタデータに入る個人データを最小化することは助けになりますが、それ自体ではストアを移さず、サプライチェーンを国内に持ってきません。
到達性チェックがこれを見落とす理由
「上海からビルドがパッケージを解決できるか」というテストは、間違った問いに答えます。接続性のチューニング、または公開カタログを素早く解決するために本土内に依存キャッシュを立てることは、ビルドがパッケージに到達する方法を変えます——それは、貴社のプライベートgem、その埋め込まれたシークレット、アーティファクトストアが実際にどこに置かれるかを変えません。公開のオープンソース側は喜んで解決し続け、その一方であらゆるプライベートgem、あらゆる焼き込まれた認証情報、あらゆるコントリビューターの記録は依然としてオフショアに置かれます。上記の国内保存と越境の問いは、パッケージが解決し続けるからこそ、到達性プローブには見えません——だからこそ重要な一手は、オフショアのものを到達可能にすることではなく、プライベートストアを移すことです。当社は中国の内側からのRubyGemsの接続性の一次計測を公表しないため、ここで数値は付けません。それは、断言するのではなく、貴社の実際のセットアップに照らして計測するものです。
これは判定ではなくリスクの見取り図です：国内保存、移転メカニズム、作り直した同意フロー、公開の開発者ポータルのためのICP備案、またはそれらの組み合わせのどれが必要かは、プライベートgemとパイプラインが何を、どれだけ運ぶか、コントリビューターが誰かで変わります——作る前に専門家と詰める価値があります。
レバー——map・localize・deliver
RubyGemsは、自社の組織内で動かすセルフホストのプライベートgemサーバーをサポートするため、本物の国内経路があり、21YunBoxはいかなる種類の不正な手段も用いず、また勧めることもしません。
- Map（棚卸し） — どのgemがプライベート（貴社の独自コード）か、認証情報やシークレットを埋め込むか、そのプライベートレジストリとアーティファクトストアが今どこにホストされているか、国内保存の根拠、そして貴社の中国ビルドの依存サプライチェーンを棚卸しします。
- Localize／govern（国内化・統制） — セルフホストのプライベートgemサーバー（例えばGemstashやgeminabox）とアーティファクトストアを国内のインフラで動かし、独自コードと埋め込まれたシークレットを国内に留め、中国ビルドのサプライチェーンを国内に保ち、国境を越えるものを最小化し、サーバーを単に露出させるのではなく統制します。
- Deliver（配信） — すでにお使いのセルフホストのプライベートレジストリの前段に、法令適合の国内の開発者アクセスを置き、ストアを国境の向こうへ戻すことなく、チームが信頼性高くそれに到達できるようにします。
オフショアのレジストリを単に到達可能にすること、または公開カタログをミラーすることは答えではありません——プライベートgem、そのシークレット、コントリビューターの記録は依然としてオフショアです。セルフホストのプライベートgemサーバーを国内で動かすことが答えです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
RubyGemsはそのまま使います。当社が加えるのは、オフショアのレジストリが単独では提供できないピースです：セルフホストのプライベートgemサーバーとアーティファクトストアのための、合法的な国内の置き場所——独自コードと埋め込まれたシークレットが法の求める場所に留まるように——そしてその前段の開発者アクセスとあらゆる公開ポータルのための、法令適合のICP備案済みの配信を、既存のセットアップの周りに、作り直しも、2つ目のコードベースも、RubyGemsからの移行もなく置きます。すでにお使いのエコシステムへのパートナーとして、当社の中国チームが、PIPLの越境、同意、データの国内保存の義務を、法人とパイプラインに照らして整理し、そのうえで擁護可能な中国での存在が必要とする国内のレジストリと配信を立ち上げます。いかなる種類の不正な手段も用いず、また勧めることもしません。
関連する読み物：
よくあるご質問
RubyGemsは中国で使えますか？
RubyGemsをセットアップして本土から依存を解決できますが、それは到達性の問いであって、コンプライアンスを決める問いではありません。判断は、プライベートgemがどこに置かれるかです：それは貴社の独自Rubyコードで、認証情報や設定シークレットを日常的に埋め込むため、オフショアのレジストリにホストすることはPIPLの越境とデータの国内保存の問い（そしてCIIや大量取扱者にはサイバーセキュリティ法第39条（旧第37条）の下での国内保存の義務）であり——加えて、どのコードが中国ビルドに入るかというサプライチェーンの問いです。正確な義務は専門家と確認してください。
プライベートgemは中国のデータ国内保存とサプライチェーンの問題ですか？
オフショアのレジストリにホストされているなら、はい。プライベートgemは貴社の独自ソースコードのパッケージで、焼き込まれた認証情報、APIトークン、設定シークレット、ときにテストフィクスチャの個人データを日常的に運びます。オフショアに置かれると、その集約された知的財産とそのシークレットは本土の外に置かれ、貴社の中国ビルドの依存サプライチェーン——どのコードが、どんな来歴でデプロイに入るか——は国境を越えて走ります。到達性チェックは、それらのプライベートgemやそのシークレットが実際にどこに置かれるかを決して見ません。
中国でプライベートgemのデータ国内保存・法令適合の経路は？
セルフホストのプライベートgemサーバーを国内で動かすことです——RubyGemsはこれをサポートします（例えばGemstashやgeminabox）——そうすればプライベートgem、ビルドのアーティファクト、独自コード、埋め込まれたシークレットは国内に留まり、中国ビルドのサプライチェーンを国内に保てます。21YunBoxが、法人とパイプラインに照らしてPIPLの越境、同意、データの国内保存の露出を整理し、プライベートレジストリとアーティファクトストアを本土で国内化し、その前段に法令適合のICP備案済みの開発者アクセスを提供します——作り直しも移行もなし。合法的な国内のデプロイであり、いかなる種類の不正な手段も用いず、また勧めることもしません。
