ネットワーキング

RAG 対応生成 AI アプリケーションのプライベートネットワーク接続の設計

2026年3月13日

https://storage.googleapis.com/gweb-cloudblog-publish/images/0-rag-hero.max-2500x2500.png

Ammett Williams

Developer Relations Engineer

Try Nano Banana 2

State-of-the-art image generation and editing

Try now

※この投稿は米国時間 2026 年 3 月 3 日に、Google Cloud blog に投稿されたものの抄訳です。

Google Cloud は柔軟性に優れており、企業が AI ワークロード向けに安全で信頼性の高いアーキテクチャを構築することを可能にします。この投稿では、検索拡張生成（RAG）対応生成 AI アプリケーションのプライベート接続のリファレンスアーキテクチャについて説明します。このアーキテクチャは、システム全体で通信にプライベート IP アドレスを使用する必要があるようなシナリオで、通信がインターネットを通過してはならないような場合に適しています。

RAG の効力

RAG は、大規模言語モデル（LLM）の出力を最適化するために使用されるパワフルな手法であり、LLM の出力を、元のトレーニングデータ以外の特定の信頼できるナレッジベースにグラウンディングできます。アプリケーションから RAG を使って、ドキュメント、データソース、データベースから関連情報をリアルタイムで取得することができます。ここで取得したコンテキストは、ユーザーのクエリとともにモデルに提供されます。これにより、AI の回答を正確で検証可能なものにするとともに、業務内容との関連性を高めます。この仕組みによって、回答の質が向上し、ハルシネーションが減少します。

このアプローチは、生成 AI においてモデルの既存の知識のみに依存することなく、指定された信頼できる情報源を使用できるため、モデル自体を再トレーニングやファインチューニングしなくて済むという点で利便性に優れています。

設計パターンの例

RAG アプリケーションのプライベート接続向けにネットワークを設定するということを念頭におきながら、このようなリージョン設計のパターンを見ていきましょう。

このネットワークは、外部ネットワーク（オンプレミスおよび他のクラウド）と Google Cloud 環境で構成されています。Google Cloud 環境は、ルーティングプロジェクト、RAG 用の共有 VPC ホストプロジェクト、3 つの特化したサービスプロジェクト（データ取り込み、サービング、フロントエンド）で構成されています。

この設計では、次のサービスを使用してエンドツーエンドのソリューションを提供します。

Cloud Interconnect または Cloud VPN: オンプレミスまたは他のクラウドからルーティング VPC ネットワークに安全に接続する
Network Connectivity Center: VPC スポークおよびハイブリッドスポークを介して、ルーティング VPC ネットワークと RAG VPC ネットワーク間の接続を管理するオーケストレーションフレームワーク
Cloud Router: ルーティングプロジェクト内で、外部ネットワークと Google Cloud 間の動的な BGP ルート交換を行う
Private Service Connect: ルーティング VPC ネットワークにプライベートエンドポイントを提供し、パブリックインターネットを経由せずに Cloud Storage バケットにアクセスしてデータを取り込めるようにする
共有 VPC: 複数のサービスプロジェクトで、共通の一元的な VPC ネットワークを使用できるようにするホストプロジェクトアーキテクチャ
Google Cloud Armor とアプリケーション ロードバランサ: フロントエンドサービスプロジェクトに配置され、ユーザーインタラクションに対してセキュリティとトラフィック管理を提供する
VPC Service Controls: すべてのリソースの周囲にマネージドセキュリティ境界を作成し、データ漏洩のリスクを軽減する

https://storage.googleapis.com/gweb-cloudblog-publish/images/1-rag-gen-ai.max-2000x2000.png

トラフィックフロー

RAG の挿入フロー

上の図の緑色の点線が RAG の挿入フロー（データエンジニアからベクトルストレージへとデータが移動する仕組み）を表しています。

外部ネットワークからのデータが、Cloud Interconnect または Cloud VPN 経由で渡されます。
ルーティングプロジェクト内の Private Service Connect エンドポイントを使って Cloud Storage バケットにアクセスします。
データ取り込みサービスプロジェクト内のデータ取り込みサブシステムが Cloud Storage バケットからの元データを処理します。
AI モデルがチャンクからベクトルを作成し、データ取り込みサブシステムに返します。データ取り込みサブシステムはこれを受け、サービングサービスプロジェクトの RAG データストアに書き込みます。

推論フロー

上の図のオレンジ色の点線が推論フロー（お客様またはユーザーのリクエスト）を表しています。

リクエストは、Cloud Interconnect または Cloud VPN 経由でルーティング VPC ネットワークに渡され、その後、VPC スポーク経由で RAG VPC ネットワークに渡されます。
リクエストは、Cloud Armor で保護されたアプリケーションロードバランサ に到達し、許可されるとフロントエンドサブシステムに渡されます。
フロントエンドサブシステムはリクエストをサービングサブシステムに転送します。サービングサブシステムは、RAG データストアのデータでプロンプトを拡張し、AI モデルを介して回答を生成します。
上記によってグラウンディングされた回答が、リクエスト元に同じパスで返されます。

管理とルーティング

上の図の青い点線は、Network Connectivity Center のハイブリッドスポークと VPC スポークが、ルーティングネットワークと RAG VPC ネットワーク間のコントロールプレーンとルートオーケストレーションを管理する様子を表しています。これにより、外部ネットワークから学習したルートが環境全体に適切に伝播されます。

IAM 権限、VPC Service Controls、デプロイに関する考慮事項などについて詳しくは、アーキテクチャドキュメント「RAG 対応生成 AI アプリケーションのプライベート接続」をお読みください。