AWS RAGアーキテクチャ設計入門｜BedrockとOpenSearch Serverlessを使ったVPC構成

この記事のポイント

・AWS RAGはBedrock（LLM・Embedding）＋OpenSearch Serverless（ベクターDB）＋Lambdaの3層構成
・LambdaからBedrockとOpenSearchへはVPC Interface Endpointで閉域通信を実現する
・セキュリティグループはSG ID参照でLambda->VPCエンドポイント間のHTTPS 443のみ許可する
・OpenSearch ServerlessはネットワークポリシーでVPC限定アクセスに設定する

# VPCとサブネットの設計例（CIDRは環境に合わせて変更）
VPC CIDR: 10.0.0.0/16

# Lambdaおよびエンドポイント配置用プライベートサブネット
Private Subnet A (ap-northeast-1a): 10.0.1.0/24
Private Subnet C (ap-northeast-1c): 10.0.2.0/24

# インターネットゲートウェイ: 不要（BedrockとOpenSearchへはVPCエンドポイント経由）
# NATゲートウェイ: 不要（外部へのHTTP通信なし）

# sg-lambda（Lambda関数に適用）
インバウンド : なし
アウトバウンド:
  HTTPS(443) -> sg-vpce-bedrock  （Bedrock Runtime VPCエンドポイントSGを指定）
  HTTPS(443) -> sg-vpce-aoss     （OpenSearch Serverless VPCエンドポイントSGを指定）

# sg-vpce-bedrock（Bedrock RuntimeエンドポイントENIに適用）
インバウンド:
  HTTPS(443) <- sg-lambda からの通信を許可
アウトバウンド: なし

# sg-vpce-aoss（OpenSearch ServerlessエンドポイントENIに適用）
インバウンド:
  HTTPS(443) <- sg-lambda からの通信を許可
アウトバウンド: なし

# Bedrock Runtime VPCエンドポイント作成例（AWS CLI）
aws ec2 create-vpc-endpoint   --vpc-id vpc-XXXXXXXXX   --vpc-endpoint-type Interface   --service-name com.amazonaws.ap-northeast-1.bedrock-runtime   --subnet-ids subnet-AAAAAAA subnet-BBBBBBB   --security-group-ids sg-vpce-bedrock-id   --private-dns-enabled

# OpenSearch Serverless VPCエンドポイント作成例
aws ec2 create-vpc-endpoint   --vpc-id vpc-XXXXXXXXX   --vpc-endpoint-type Interface   --service-name com.amazonaws.ap-northeast-1.aoss   --subnet-ids subnet-AAAAAAA subnet-BBBBBBB   --security-group-ids sg-vpce-aoss-id   --private-dns-enabled

{
    "VpcEndpoint": {
        "VpcEndpointId": "vpce-0123456789abcdef0",
        "VpcEndpointType": "Interface",
        "State": "pending",
        "ServiceName": "com.amazonaws.ap-northeast-1.bedrock-runtime",
        "PrivateDnsEnabled": true
    }
}

import boto3, json
from opensearchpy import OpenSearch, RequestsHttpConnection
from requests_aws4auth import AWS4Auth

REGION = "ap-northeast-1"

# Bedrock clientの初期化（VPCエンドポイント経由で自動ルーティング）
bedrock = boto3.client("bedrock-runtime", region_name=REGION)

# OpenSearch Serverlessの認証設定（SigV4認証）
credentials = boto3.Session().get_credentials()
awsauth = AWS4Auth(
    credentials.access_key,
    credentials.secret_key,
    REGION,
    "aoss",
    session_token=credentials.token
)

aoss_client = OpenSearch(
    hosts=[{"host": "コレクションID.ap-northeast-1.aoss.amazonaws.com", "port": 443}],
    http_auth=awsauth,
    use_ssl=True,
    connection_class=RequestsHttpConnection
)

def get_embedding(text: str) -> list:
    # Amazon Titan Embeddings V2でEmbeddingを生成（1024次元）
    response = bedrock.invoke_model(
        modelId="amazon.titan-embed-text-v2:0",
        body=json.dumps({"inputText": text})
    )
    return json.loads(response["body"].read())["embedding"]

def search_documents(query: str, k: int = 3) -> list:
    query_embedding = get_embedding(query)
    body = {
        "size": k,
        "query": {
            "knn": {
                "embedding": {"vector": query_embedding, "k": k}
            }
        }
    }
    response = aoss_client.search(index="documents", body=body)
    return [hit["_source"]["content"] for hit in response["hits"]["hits"]]