GitHub Container Registry는 중국에서 작동하나요? 데이터 레지던시, ICP, 그리고 국경 간 규칙
GHCR의 비공개 컨테이너 이미지는 독점 코드를 레이어에 구워 넣고 흔히 시크릿을 품으며, GitHub의 호스팅 레지스트리에 해외로 놓입니다 — 도달성이 아니라 데이터 레지던시, PIPL 국경 간, 공급망 문제입니다. 비공개 레지스트리를 국내에서 자체 호스팅하면 이들을 국내에 머물게 할 수 있습니다.
GitHub Container Registry는 중국에서 작동하나요?
GitHub Container Registry가 중국에서 작동하는지는 귀사의 비공개 이미지가 어디에 사는지에 달려 있습니다 — 도달성이 아니라 데이터 레지던시와 공급망 문제입니다. 컨테이너 이미지는 독점 코드를 레이어에 구워 넣고 자격 증명과 토큰을 일상적으로 품으며, GHCR로 푸시된 그 비공개 이미지는 GitHub의 호스팅 레지스트리에 해외로 앉습니다.
GitHub 자신의 문서에서 GitHub Packages는 “allows you to host your software packages privately or publicly,”(소프트웨어 패키지를 비공개 또는 공개로 호스팅하게 해준다)이며, “GitHub's Container registry is optimized for containers and supports Docker and OCI images” — 귀사가 ghcr.io에서 닿는 서비스로, 게시된 패키지의 기본 가시성은 비공개입니다. GitHub(마이크로소프트 자회사)은 중국 본토 리전을 거명하지 않으므로, 귀사의 비공개 이미지와 그 레이어, 거기 구워 넣은 시크릿은 해외에 앉습니다. 이는 그것들이 실어 나르는 개인정보 — 기여자 신원, 접근 로그, 픽스처의 모든 개인정보 — 를 PIPL상의 국경 간 이전(제38~40조)으로 만들고, 핵심정보인프라 운영자나 대량 취급자에는 사이버보안법 데이터 국내화 규칙(제39조(구 제37조))이 해외 레지스트리가 제공할 수 없는 본토 저장을 요구합니다. 귀사 중국 배포의 이미지 공급망도 국경을 넘습니다. 레버는 국내에서 운영하는 자체 호스팅 비공개 레지스트리입니다.
이는 판정이 아니라 리스크 지도입니다 — 의무는 귀사의 비공개 이미지가 무엇을 품는지와 역할·물량에 따라 달라집니다. 저희 중국 팀이 귀사의 컨테이너 레지던시와 국경 간 노출을 함께 정리해 드립니다 →
컴플라이언스 스냅샷
- ! GHCR의 비공개 이미지는 독점 코드를 레이어에 구워 넣으며, GitHub에 해외로 호스팅됨
- ! 이미지 레이어와 빌드 단계는 자격 증명과 토큰을 일상적으로 품으며, 그것이 해외에 놓임
- ! 기여자 신원과 접근 로그가 해외에 있는 것은 PIPL 국경 간 이전
- ! CII나 대량 취급자의 데이터 국내화 의무는 해외에서 충족 불가(사이버보안법 제39조)
- ✓ 합법적 경로: 자체 호스팅 국내 비공개 레지스트리가 이미지를 국내에 머물게 함
GitHub Container Registry 공식 문서가 중국에 대해 말하는 것
| 사실 | 1차 출처 |
|---|---|
| GitHub 자신의 표현으로: GitHub Packages는 “is a software package hosting service that allows you to host your software packages privately or publicly,”이며, “GitHub's Container registry is optimized for containers and supports Docker and OCI images.” 귀사는 그 레지스트리에 ghcr.io로 닿습니다. 따라서 GHCR은 귀사의 비공개 컨테이너 이미지를 위한 GitHub 자신의 호스팅 레지스트리이며, GitHub(마이크로소프트 자회사)은 중국 본토 리전을 거명하지 않습니다 — 그래서 귀사의 비공개 이미지는 해외에 앉습니다(현재 상태는 GitHub에 확인). | GitHub Docs — Introduction to GitHub Packages, 2026-10-13 열람 |
GitHub은 Container registry에서 귀사가 “can store and manage Docker and OCI images,”하고, “sign in to the Container registry service at ghcr.io,”하며, 패키지를 처음 게시할 때 “default visibility is private.”(기본 가시성은 비공개)라고 문서화합니다. 비공개 이미지는 독점 코드를 레이어에 구워 넣고 빌드 자격 증명, API 토큰, 구성을 일상적으로 품는 아티팩트입니다 — 그래서 이 집약된 지적 재산과 그 시크릿이 GitHub의 해외 레지스트리에 앉는 것입니다. | GitHub Docs — Working with the Container registry, 2026-10-13 열람 |
| 기여자 신원, 풀/푸시·접근 로그, 그리고 비공개 이미지나 빌드 메타데이터 안의 모든 개인정보가 해외 레지스트리에 보유되면, 이는 개인정보 보호법(제38~40조)상의 국경 간 이전입니다: 처리자(GitHub이 아니라 레지스트리 운영자인 귀사)는 고지하고, 별도 동의를 받고, 메커니즘 하나 — CAC 안전성 평가, CAC 표준계약, 또는 인증 — 를 충족해야 합니다. | 개인정보 보호법 제38~40조 — 21YunBox 컴플라이언스 참고, 2026-10-13 열람 |
| 핵심정보인프라 운영자나 대량 취급자의 경우, 중국에서 수집·생성한 개인정보와 중요 데이터는 본토 안에 저장되어야 하며 어떤 수출 전에도 안전성 평가가 필요합니다 — 사이버보안법 데이터 국내화 규칙, 2026-01-01 시행된 2025년 개정으로 재번호된 제39조(구 제37조)입니다. 귀사의 비공개 이미지를 보유한 해외 레지스트리에는 이를 충족할 본토 발판이 없습니다. | 사이버보안법 제39조(구 제37조) — 21YunBox 컴플라이언스 참고, 2026-10-13 열람 |
21YunBox 컴플라이언스 팀이(가) 2026년 10월 13일에 출처를 확인했습니다.
중국 본토 운영이라면, GitHub Container Registry에 대한 결정적인 질문은 상하이의 노드가 공개 베이스 이미지를 풀 수 있는지가 아니라 — 귀사의 비공개 이미지가 어디에 살고, 무엇을 품고, 어떤 법적 근거로 거기에 갔는지입니다. 커뮤니티 베이스 이미지를 푸는 것은 도달성 주제이지, 귀사의 구성이 방어 가능한지를 결정하는 질문이 아닙니다. 귀사의 비공개 컨테이너 이미지는 다릅니다: 컨테이너 이미지는 독점 코드를 레이어에 구워 넣고 — 영업비밀 — 빌드 자격 증명, API 토큰, 레지스트리 인증, 구성을 일상적으로 품으며, 이따금 픽스처나 캐시된 아티팩트에 개인정보가 묻어 따라갑니다. GitHub Container Registry(GHCR)로 푸시되면, 그 집약된 지적 재산은 GitHub의 호스팅 레지스트리에 해외로 놓이고, 귀사 중국 배포의 이미지 공급망 — 무엇이 본토에서 실행되며 어떤 출처·무결성으로 그러한지 — 은 국경을 넘습니다. 풀 레이턴시가 아니라 레지던시와 국경 간 이전이 이것을 결정합니다.
한눈에 보는: GitHub Container Registry는 중국에서 작동하나요?
| 무엇이 결정하나 | 중국 본토에 그것이 뜻하는 바 |
|---|---|
| 비공개 이미지가 무엇을 품나 | 비공개 이미지는 독점 코드를 레이어에 구워 넣고 — 영업비밀 — 빌드 자격 증명, API 토큰, 레지스트리 인증, 구성을 일상적으로 품으며, 픽스처나 캐시된 아티팩트의 개인정보도 함께입니다. |
| 레지스트리가 어디서 실행되나 | GHCR로 푸시되면 비공개 이미지는 ghcr.io로 닿는 GitHub의 호스팅 레지스트리, 해외 인프라 위에 삽니다. GitHub(마이크로소프트 자회사)은 중국 본토 리전을 거명하지 않습니다(현재 상태는 GitHub에 확인). |
| 데이터 레지던시 | 핵심정보인프라 운영자나 대량 취급자의 경우, 중국에서 수집한 개인정보와 중요 데이터는 본토에 저장되어야 합니다(사이버보안법 제39조(구 제37조)) — 해외 레지스트리가 충족할 수 없는 의무입니다. |
| 국경 간 이전 | 기여자 신원, 풀/푸시·접근 로그, 그리고 비공개 이미지나 빌드 메타데이터 안의 모든 개인정보가 해외에 보유되면 PIPL 국경 간 이전입니다(제38~40조): 고지, 별도 동의, 이전 메커니즘 하나. |
| 귀사 배포의 공급망 | 해외 레지스트리에서 풀하는 중국 클러스터는 이미지 공급망을 국경 너머로 운영합니다. 레지스트리 미러나 풀스루 캐시는 풀을 빠르게 할 뿐 — 귀사의 비공개 이미지나 시크릿을 국내로 옮기지는 않습니다. |
| 레지던시 레버 | 본토 안에서 운영하는 자체 호스팅 비공개 레지스트리(Harbor, 또는 귀사 자신의 인프라 위의 Nexus / Artifactory)는 비공개 이미지, 그 레이어, 품은 시크릿을 국내에 머물게 합니다. |
첫 번째 문 — 비공개 이미지는 독점 코드이며, 레지던시는 호스팅되는 곳을 따른다
레지스트리가 무엇을 품는지에서 시작하십시오. 중국 법이 반응하는 것이 바로 그것이기 때문입니다. 공개 베이스 이미지를 푸는 것은 커뮤니티 콘텐츠를 푸는 것이지만, 그것은 이것을 결정하는 부분이 아닙니다. 귀사의 비공개 이미지는 세상에 공개하지 않는 코드의 권위 있는 저장소입니다: 독점 서비스, 내부 베이스 레이어, 빌드 툴링 — 지적 재산의 집약된 일부 — 이며, 구워 넣은 자격 증명, API 토큰, 레지스트리 인증, 구성을 일상적으로 지니고, 때로는 테스트 픽스처에 개인정보를 지닙니다. GitHub 자신의 표현으로, GitHub Packages는 “allows you to host your software packages privately or publicly,”(소프트웨어 패키지를 비공개 또는 공개로 호스팅하게 해준다)이며, “GitHub’s Container registry is optimized for containers and supports Docker and OCI images.”(GitHub의 Container registry는 컨테이너에 최적화되어 Docker·OCI 이미지를 지원). 귀사는 그 레지스트리에 ghcr.io로 닿으며, 게시된 패키지의 기본 가시성은 비공개입니다.
그 호스팅이 요점입니다. Container registry는 GitHub의 호스팅 서비스 — GitHub은 마이크로소프트 소유 — 로 해외 인프라 위에 실행되며, GitHub은 중국 본토 리전을 거명하지 않습니다(가정하지 말고 GitHub에 직접 확인할 것). 귀사가 핵심정보인프라 운영자이거나 개인정보를 대량으로 취급한다면, 중국에서 수집·생성한 개인정보와 중요 데이터는 본토에 저장되어야 하며 어떤 수출 전에도 안전성 평가가 필요합니다 — 사이버보안법 데이터 국내화 규칙, 2026-01-01 시행된 2025년 개정으로 재번호된 제39조(구 제37조)입니다. 귀사의 독점 이미지와 거기 구워 넣은 시크릿을 보유한 해외 레지스트리에는 이를 충족할 본토 발판이 없습니다.
두 번째 문 — 기여자 신원, 시크릿, 공급망 출처
두 번째 문은 PIPL과, 귀사의 중국 배포로 들어가는 것의 무결성입니다. 비공개 이미지와 그 주위의 파이프라인은 코드 이상을 지닙니다: 릴리스를 빌드·서명·푸시한 사람의 사용자명과 이메일 주소, 풀/푸시·접근 로그, 그리고 이미지 레이어나 빌드 메타데이터에 흘러드는 모든 개인정보. 개인정보 보호법(PIPL)에 따라, 그 데이터를 본토 밖 인프라에 보유하는 것은 국경 간 이전입니다(제38~40조): 처리자는 고지하고, 이전에 대한 별도 동의를 받고, 메커니즘 하나 — CAC 안전성 평가, CAC 표준계약, 또는 인증 — 를 충족해야 합니다. 애초에 이미지 레이어에 구워 넣는 시크릿과 개인정보를 최소화하는 것은 해법의 일부이지만, 그것만으로 저장소를 옮기지는 못합니다. 그리고 귀사의 중국 클러스터가 레지스트리가 실행되는 곳 어디에서든 이미지를 풀하므로, 귀사의 중국 배포로 들어가는 코드의 출처와 무결성도 국경 너머에서 규율됩니다 — 연결성 점검이 결코 드러내지 못하는 소프트웨어 공급망 노출입니다.
왜 도달성 점검은 이것을 놓치나
“내 노드가 상하이에서 이미지를 풀할 수 있나” 테스트는 잘못된 질문에 답합니다. 레지스트리 미러나 풀스루 캐시, 또는 연결성 튜닝은 이미지가 얼마나 빠르고 안정적으로 풀되는지를 바꿀 뿐 — 귀사의 비공개 이미지, 그 레이어에 구워 넣은 시크릿, 빌드 출처가 실제로 어디에 사는지를 바꾸지 않습니다. 그래서 구성은 중국 내부에서 완벽하게 건강해 보이면서도, 모든 비공개 이미지, 거기 구워 넣은 모든 토큰, 모든 기여자 기록이 여전히 해외에 앉아 있을 수 있습니다. 위의 레지던시·국경 간 질문은 바로 이미지가 계속 풀되기 때문에 도달성 탐침에 보이지 않습니다 — 그래서 중요한 조치는 해외 저장소를 단지 도달 가능하게 하거나 미러하는 것이 아니라 비공개 저장소를 국내로 옮기는 것입니다. 저희는 중국 내부에서 측정한 GHCR 연결성 자체 측정값을 공표하지 않으므로 여기에 수치를 두지 않습니다; 그것은 주장하기보다 귀사의 실제 구성에 대해 측정할 것입니다.
이는 판정이 아니라 리스크 지도입니다: 국내 저장, 이전 메커니즘, 재설계된 동의 플로우, 공개 개발자 포털을 위한 ICP 비안, 또는 그 조합 중 무엇이 필요한지는 귀사의 비공개 이미지가 무엇을, 얼마만큼 품는지와 기여자가 누구인지에 따라 달라집니다 — 구축에 들어가기 전에 법률 자문과 함께 정리할 가치가 있습니다.
레버 — 진단, 현지화, 전송
컨테이너 이미지에는 진정한 자체 호스팅 비공개 레지스트리가 존재하므로, 실질적인 국내 경로가 있으며, 21YunBox는 어떤 형태의 우회도 결코 쓰거나 권하지 않습니다.
- 진단(map) — 어떤 이미지가 비공개(귀사의 독점 코드)인지, 그 레이어가 자격 증명·토큰·구성을 품는지, 그 비공개 레지스트리가 오늘 어디에 호스팅되는지, 레지던시 근거, 그리고 귀사 중국 배포의 이미지 공급망이 어떻게 국경을 넘는지를 목록화합니다.
- 현지화 / 거버넌스 — 비공개 레지스트리와 아티팩트 저장소를 국내에서(자체 호스팅 — Harbor, 또는 귀사 자신의 인프라 위의 Nexus / Artifactory) 운영하여 독점 이미지와 품은 시크릿을 국내에 머물게 하고; 귀사 중국 배포의 공급망을 국내에 유지하며; 국경을 넘는 것을 최소화합니다.
- 전송(deliver) — 해외 서비스 앞단에(또는 대신에) 규정에 맞는 국내 비공개 레지스트리와 이미지 전송을 둡니다; 21YunBox가 재구축 없이 국내 계층을 세웁니다.
공개 레지스트리를 단지 도달 가능하게 하거나 미러하는 것은 해답이 아닙니다 — 귀사의 비공개 이미지와 시크릿은 여전히 해외에 있고, 더 빨리 푸는 것이 그것을 바꾸지 않습니다. 비공개 레지스트리와 이미지 아티팩트를 국내에 두는 것이 해답입니다.
21YunBox의 자리 — 마이그레이션이 아니라 컴플라이언스 오버레이
귀사는 GitHub과 GHCR을 계속 씁니다. 저희는 해외 레지스트리가 스스로 제공할 수 없는 부분을 더합니다: 자체 호스팅 비공개 레지스트리를 위한 적법한 국내 거처를 두어 귀사의 독점 이미지, 그 레이어, 품은 시크릿이 법이 요구하는 곳에 국내에 머물게 하고, 그 앞단의 개발자 접근과 모든 공개 포털을 위한 규정에 맞는 ICP 비안 전송을 둡니다 — 기존 구성 주위에, 재구축도, 두 번째 코드베이스도, GitHub에서의 마이그레이션도 없이. 이미 운영 중인 툴체인의 파트너로서, 저희 중국 팀이 귀사의 PIPL 국경 간 이전, 동의, 데이터 레지던시 의무를 귀사의 법인과 파이프라인에 비추어 정리한 뒤, 방어 가능한 중국 프레즌스가 필요로 하는 국내 레지스트리와 전송을 세웁니다. 저희는 어떤 형태의 우회도 결코 쓰거나 권하지 않습니다.
함께 읽기:
자주 묻는 질문
중국에서 GitHub Container Registry를 쓸 수 있나요?
기술적으로 노드는 대개 거기서 풀할 수 있지만, 그것은 컴플라이언스를 결정하는 질문이 아닙니다. GHCR은 ghcr.io로 닿는 GitHub의 호스팅 레지스트리이며, GitHub은 중국 본토 리전을 거명하지 않습니다 — 그래서 귀사의 비공개 이미지, 그 레이어에 구워 넣은 시크릿, 그 주위의 기여자 기록이 해외에 앉습니다. 핵심정보인프라 운영자나 대량 취급자에는 이것이 데이터 국내화와 충돌하고, 관련된 개인정보는 PIPL상의 국경 간 이전입니다. 합법적 경로는 본토 안에서 운영하는 자체 호스팅 비공개 레지스트리입니다.
GHCR에서 제 비공개 이미지는 어디에 살고, 중국 본토 리전이 있나요?
GitHub 자신의 호스팅 레지스트리에 삽니다. GitHub은 GitHub Packages가 "소프트웨어 패키지를 비공개 또는 공개로 호스팅하게 해준다"는 것과, 귀사가 Container registry 서비스에 ghcr.io로 로그인한다는 것, 그리고 게시된 패키지의 기본 가시성이 비공개라는 것을 문서화합니다. GitHub은 마이크로소프트 자회사이며 중국 본토 리전을 거명하지 않으므로(GitHub에 직접 확인할 것), 중국 배포의 비공개 이미지는 해외에 호스팅됩니다 — 그래서 결정적인 질문은 도달성이 아니라 레지던시입니다.
21YunBox는 우리 GHCR과 컨테이너 구성을 중국에서 규정에 맞게 만들도록 도울 수 있나요?
예. 저희 중국 팀이 귀사의 비공개 이미지가 품는 것에 대해 ICP와 데이터 레지던시 노출을 진단하고, 귀사의 독점 이미지와 품은 시크릿이 국내에 머물도록 규정에 맞는 자체 호스팅 국내 비공개 레지스트리를 세우며, 그 앞단의 개발자 접근과 모든 공개 포털을 위한 ICP 비안 전송을 제공합니다 — 기존 GitHub 툴체인 주위에, 재구축도 GitHub에서의 마이그레이션도 없이. 문의하기로 구체적인 구성을 함께 다루시기 바랍니다.
