用户管理

• 设置访问控制：配置基于角色的访问控制（RBAC）以管理工作区内的用户权限，包括创建自定义角色并将其分配给用户。
• SAML SSO（企业计划）：为企业客户设置使用 SAML 2.0 的单点登录身份验证，包括针对流行身份提供商的配置。
• SCIM 用户配置（企业计划）：使用 SCIM 在您的身份提供商和 LangSmith 之间自动化用户配置和取消配置。

​

设置访问控制

​

创建角色

• Admin：对工作区内的所有资源拥有完全访问权限。
• Viewer：对工作区内的所有资源拥有只读访问权限。
• Editor：拥有除工作区管理（添加/移除用户、更改角色、配置服务密钥）之外的所有权限。

​

将角色分配给用户

​

为您的组织设置 SAML SSO

• 为组织所有者简化跨系统的用户管理。
• 使组织能够强制执行其自身的安全策略（例如，MFA）。
• 消除最终用户记住和管理多个密码的需要。通过允许在单一访问点跨多个应用程序登录，简化最终用户体验。

​

即时（JIT）配置

​

登录方法和访问

• 通过 SAML SSO 登录时，用户只能访问配置了 SAML SSO 的相应组织。
• 仅将 SAML SSO 作为其唯一登录方法的用户没有个人组织。
• 通过任何其他方法登录时，用户可以访问配置了 SAML SSO 的组织以及他们所属的任何其他组织。

​

强制仅使用 SAML SSO

​

先决条件

• 您的组织必须在企业计划上。
• 您的身份提供商（IdP）必须支持 SAML 2.0 标准。
• 只有 组织管理员可以配置 SAML SSO。

​

初始配置

1. 在您的 IdP 中：配置一个 SAML 应用程序，包含以下详细信息，然后复制元数据 URL 或 XML 用于步骤 3。
   以下 URL 取决于您的组织位于美国（GCP）、欧盟（GCP）还是美国（AWS）云区域。请确保选择正确的链接。
   1. 单点登录 URL（或 ACS URL）：
      • 美国（GCP）：https://auth.langchain.com/auth/v1/sso/saml/acs
      • 欧盟（GCP）：https://eu.auth.langchain.com/auth/v1/sso/saml/acs
      • 美国（AWS）：https://aws.auth.langchain.com/auth/v1/sso/saml/acs
   2. 受众 URI（或 SP 实体 ID）：
      • 美国（GCP）：https://auth.langchain.com/auth/v1/sso/saml/metadata
      • 欧盟（GCP）：https://eu.auth.langchain.com/auth/v1/sso/saml/metadata
      • 美国（AWS）：https://aws.auth.langchain.com/auth/v1/sso/saml/metadata
   3. Name ID 格式：电子邮件地址。
   4. 应用程序用户名：电子邮件地址。
   5. 必需的声明：sub 和 email。
2. 在 LangSmith 中：转到 Settings -> Members and roles -> SSO Configuration。填写所需信息并提交以激活 SSO 登录：
   1. 填写 SAML metadata URL 或 SAML metadata XML。
   2. 选择 Default workspace role 和 Default workspaces。通过 SSO 登录的新用户将被添加到指定的工作区，并具有所选角色。
      • Default workspace role 和 Default workspaces 是可编辑的。更新后的设置仅适用于新用户，不适用于现有用户。
      • （即将推出）SAML metadata URL 和 SAML metadata XML 是可编辑的。这通常仅在加密密钥轮换/过期或元数据 URL 已更改但仍使用相同 IdP 时才需要。

​

Supabase 属性映射

1. IdP：发出具有配置名称的 SAML 属性（例如，groups）。
2. Supabase：仅当属性名称出现在 SSO 提供商的 Supabase 属性映射表中时，才将属性转发到用户的 JWT。标准属性会自动转发；非标准属性除非明确列出，否则会被丢弃。
3. LangSmith：按名称读取 JWT 声明（例如，SSO 组同步的 Groups claim field 的值）。

​

配置

​

Entra ID (Azure)

1. 使用特权角色（例如，Global Administrator）登录到 Azure 门户。在左侧导航窗格中，选择 Entra ID 服务。
2. 导航到 Enterprise Applications，然后选择 All Applications。
3. 点击 Create your own application。
4. 在 Create your own application 窗口中：
   1. 为您的应用程序输入一个名称（例如，LangSmith）。
   2. 选择 Integrate any other application you don’t find in the gallery (Non-gallery)。
5. 点击 Create。

1. 打开您创建的企业应用程序。
2. 在左侧导航中，选择 Manage > Single sign-on。
3. 在 Single sign-on 页面上，点击 SAML。
4. 更新 Basic SAML Configuration：
   1. Identifier (Entity ID)：
      • 美国（GCP）：https://auth.langchain.com/auth/v1/sso/saml/metadata
      • 欧盟（GCP）：https://eu.auth.langchain.com/auth/v1/sso/saml/metadata
      • 美国（AWS）：https://aws.auth.langchain.com/auth/v1/sso/saml/metadata
   2. Reply URL (Assertion Consumer Service URL)：
      • 美国（GCP）：https://auth.langchain.com/auth/v1/sso/saml/acs
      • 欧盟（GCP）：https://eu.auth.langchain.com/auth/v1/sso/saml/acs
      • 美国（AWS）：https://aws.auth.langchain.com/auth/v1/sso/saml/acs
   3. 将 Relay State、Logout Url 和 Sign on URL 留空。
   4. 点击 Save。
5. 确保必需的声明存在，Namespace 为：http://schemas.xmlsoap.org/ws/2005/05/identity/claims：
   1. sub：user.objectid。
   2. emailaddress：user.userprincipalname 或 user.mail（如果使用后者，请确保所有用户在 Contact Information 下的 Email 字段已填写）。
   3. （可选）对于 SCIM，请参阅设置文档以获取有关 Unique User Identifier (Name ID) 的具体说明。
6. 在 SAML-based Sign-on 页面上，在 SAML Certificates 下，复制 App Federation Metadata URL。

1. 在 Entra ID 中将应用程序分配给用户/组：
   1. 选择 Manage > Users and groups。
   2. 点击 Add user/group。
   3. 在 Add Assignment 窗口中：
      1. 在 Users 下，点击 None Selected。
      2. 搜索您想要分配给企业应用程序的用户，然后点击 Select。
      3. 验证用户已被选中，然后点击 Assign。
2. 让用户通过 SSO Configuration 页面上的唯一登录 URL 登录，或转到 Manage > Single sign-on 并选择 Test single sign-on with (application name)。

​

Google

1. 确保您使用具有适当权限的管理员帐户登录。
2. 在管理控制台中，转到 Menu -> Apps -> Web and mobile apps。
3. 点击 Add App，然后点击 Add custom SAML app。
4. 输入应用程序名称，并可选择上传图标。点击 Continue。
5. 在 Google Identity Provider 详细信息页面上，下载 IDP metadata 并将其保存用于步骤 2。点击 Continue。
6. 在 Service Provider Details 窗口中，输入：
   1. ACS URL：
      • 美国（GCP）：https://auth.langchain.com/auth/v1/sso/saml/acs
      • 欧盟（GCP）：https://eu.auth.langchain.com/auth/v1/sso/saml/acs
      • 美国（AWS）：https://aws.auth.langchain.com/auth/v1/sso/saml/acs
   2. Entity ID：
      • 美国（GCP）：https://auth.langchain.com/auth/v1/sso/saml/metadata
      • 欧盟（GCP）：https://eu.auth.langchain.com/auth/v1/sso/saml/metadata
      • 美国（AWS）：https://aws.auth.langchain.com/auth/v1/sso/saml/metadata
   3. 将 Start URL 和 Signed response 框留空。
   4. 将 Name ID 格式设置为 EMAIL，并将 Name ID 保留为默认值（Basic Information > Primary email）。
   5. 点击 Continue。
7. 使用 Add mapping 确保必需的声明存在：
   1. Basic Information > Primary email -> email

1. 在 Menu -> Apps -> Web and mobile apps 下选择 SAML 应用程序
2. 点击 User access。
3. 启用服务：
   1. 要为组织中的所有人启用服务，请点击 On for everyone，然后点击 Save。
   2. 要为组织单位启用服务：
      1. 在左侧，选择组织单位，然后点击 On。
      2. 如果服务状态设置为 Inherited 并且您希望保留更新后的设置（即使父设置更改），请点击 Override。
      3. 如果服务状态设置为 Overridden，请点击 Inherit 以恢复为与其父级相同的设置，或点击 Save 以保留新设置（即使父设置更改）。
   3. 要为跨组织单位或组织单位内的一组用户启用服务，请选择一个访问组。详情请访问使用组自定义服务访问权限。
4. 确保用户用于登录 LangSmith 的电子邮件地址与其用于登录 Google 域的电子邮件地址匹配。

​

Okta

​

支持的功能

• IdP 发起的 SSO（单点登录）
• SP 发起的 SSO
• 即时配置
• 强制仅使用 SSO

​

配置步骤

1. 登录 Okta。
2. 在右上角，选择 Admin。该按钮在管理区域中不可见。
3. 选择 Browse App Integration Catalog。
4. 找到并选择 LangSmith 应用程序。
5. 在应用程序概述页面上，选择 Add Integration。
6. 将 ApiUrlBase 留空。
7. 填写 AuthHost：
   • 美国（GCP）：auth.langchain.com
   • 欧盟（GCP）：eu.auth.langchain.com
   • 美国（AWS）：aws.auth.langchain.com
8. （可选，如果计划同时使用 SCIM）填写 LangSmithUrl：
   • 美国（GCP）：api.smith.langchain.com
   • 欧盟（GCP）：eu.api.smith.langchain.com
   • 美国（AWS）：aws.api.smith.langchain.com
9. 在 Application Visibility 下，保持复选框未选中。
10. 选择 Next。
11. 选择 SAML 2.0。
12. 填写 Sign-On Options：
    • Application username format：Email
    • Update application username on：Create and update
    • Allow users to securely see their password：保持未选中。
13. 从 Sign On Options 页面复制 Metadata URL 以在下一步中使用。

1. 以管理员身份登录 Okta，并转到 Okta Admin console。
2. 在 Applications > Applications 下，点击 Create App Integration。
3. 选择 SAML 2.0。
4. 输入 App name（例如，LangSmith）并可选择输入 App logo，然后点击 Next。
5. 在 Configure SAML 页面中输入以下信息：
   1. Single sign-on URL（ACS URL）。保持 Use this for Recipient URL and Destination URL 选中：
      • 美国（GCP）：https://auth.langchain.com/auth/v1/sso/saml/acs
      • 欧盟（GCP）：https://eu.auth.langchain.com/auth/v1/sso/saml/acs
      • 美国（AWS）：https://aws.auth.langchain.com/auth/v1/sso/saml/acs
   2. Audience URI (SP Entity ID)：
      • 美国（GCP）：https://auth.langchain.com/auth/v1/sso/saml/metadata
      • 欧盟（GCP）：https://eu.auth.langchain.com/auth/v1/sso/saml/metadata
      • 美国（AWS）：https://aws.auth.langchain.com/auth/v1/sso/saml/metadata
   3. Name ID format：Persistent。
   4. Application username：email。
   5. 将其余字段留空或设置为默认值。
   6. 点击 Next。
6. 点击 Finish。
7. 从 Sign On 页面复制 Metadata URL 以在下一步中使用。

1. 在 Applications > Applications 下，选择步骤 1 中创建的 SAML 应用程序。
2. 在 Assignments 选项卡下，点击 Assign，然后选择 Assign to People 或 Assign to Groups。
3. 进行所需的选择，然后点击 Assign 和 Done。

​

SP 发起的 SSO

​

为您的组织设置 SCIM

• 自动化用户管理：根据用户在 IdP 中的状态，自动将用户添加、更新和移除出 LangSmith。
• 减少管理开销：无需跨多个系统手动管理用户访问。
• 提高安全性：离开组织的用户会自动从 LangSmith 取消配置。
• 一致的访问控制：用户属性和组成员身份在系统之间同步。
• 扩展团队访问控制：高效管理拥有多个工作区和自定义角色的大型团队。
• 角色分配：为用户组选择特定的组织角色和工作区角色。

​

要求

​

先决条件

• 您的组织必须在企业计划上。
• 您的身份提供商（IdP）必须支持 SCIM 2.0。
• 只有组织管理员可以配置 SCIM。
• 对于云客户：您的组织必须可配置 SAML SSO。
• 对于自托管客户：必须启用 OAuth with Client Secret 身份验证模式。
• 对于自托管客户，必须允许从身份提供商到 LangSmith 的网络流量：
  • Microsoft Entra ID 支持 IP 范围允许列表或基于代理的解决方案以提供连接性。 (详情)。
  • Okta 支持 IP 或域名允许列表 (详情) 或基于代理的解决方案 (详情) 以提供连接性。

​

角色优先级

1. 组织管理员组具有最高优先级。这些组中的用户将在所有工作区中成为 Admin。
2. 最近创建的特定于工作区的组优先于其他工作区组。

​

电子邮件验证

​

属性和映射

​

组命名约定

• LS:Organization Admins
• Groups-Organization Admins
• Organization Admin

• LS:Organization User:Production:Annotators
• Groups-Organization User:Engineering:Developers
• Organization User:Marketing:Viewers

• LS-Organization User-Production-Annotators
• Organization User-Engineering-Developers

​

配置自定义分隔符

curl -X PATCH $LANGCHAIN_ENDPOINT/api/v1/orgs/current/info \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"scim_group_name_separator": "-"}'

​

映射

​

用户属性

1. userName 不是 LangSmith 所必需的
2. 电子邮件地址是必需的
3. 如果您的 displayName 不符合 Firstname Lastname 的格式，请使用计算表达式
4. 为避免不一致，对于云客户，这应与 SAML NameID 断言匹配，对于自托管客户，则与 sub OAuth2.0 声明匹配。

​

组属性

1. 组必须遵循组命名约定部分描述的命名约定。 如果您的公司有组命名策略，您应该改为从 description 身份提供商属性进行映射，并根据组命名约定部分设置描述。

​

步骤 1 - 配置 SAML SSO（仅限云）

1. 如果您的组织已经配置了 SAML SSO，您应该跳过初始添加应用程序的步骤（从 Okta 集成网络添加应用程序或创建新的 Entra ID 应用程序集成），因为您已经配置了应用程序，只需要启用配置。
2. 如果您是首次与 SCIM 一起配置 SAML SSO，请先按照说明设置 SAML SSO，_然后_按照此处的说明启用 SCIM。

​

NameID 格式

1. 对每个用户唯一。
2. 是一个永不更改的持久值，例如随机生成的唯一用户 ID。
3. 在每次登录尝试时完全匹配。它不应依赖于用户输入。

​

步骤 2 - 禁用 JIT 配置

​

为云禁用 JIT

curl -X PATCH $LANGCHAIN_ENDPOINT/orgs/current/info \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"jit_provisioning_enabled": false}'

​

为自托管禁用 JIT

commonEnv:
  - name: SELF_HOSTED_JIT_PROVISIONING_ENABLED
    value: "false"

​

步骤 3 - 生成 SCIM 令牌

curl -X POST $LANGCHAIN_ENDPOINT/v1/platform/orgs/current/scim/tokens \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"description": "Your description here"}'

• GET /v1/platform/orgs/current/scim/tokens
• GET /v1/platform/orgs/current/scim/tokens/{scim_token_id}
• PATCH /v1/platform/orgs/current/scim/tokens/{scim_token_id}（仅支持 description 字段）
• DELETE /v1/platform/orgs/current/scim/tokens/{scim_token_id}

​

步骤 4 - 配置您的身份提供商

​

Azure Entra ID 配置步骤

1. 使用特权角色（例如，Global Administrator）登录到 Azure 门户。
2. 导航到您现有的 LangSmith 企业应用程序。
3. 在左侧导航中，选择 Manage > Provisioning。
4. 点击 Get started。

1. 在 Admin Credentials 下：
   • Tenant URL：
     • 美国（GCP）：https://api.smith.langchain.com/scim/v2
     • 欧盟（GCP）：https://eu.api.smith.langchain.com/scim/v2
     • 美国（AWS）：https://aws.api.smith.langchain.com/scim/v2
     • 自托管：<langsmith_url>/scim/v2
   • Secret Token：输入步骤 3 中生成的 SCIM 令牌。
2. 点击 Test Connection 以验证配置。
3. 点击 Save。

1. 用户的电子邮件地址必须存在于 Entra ID 中。
2. 如果您的 displayName 不符合 Firstname Lastname 的格式，请使用 Join 表达式。
3. 为避免不一致，这应与 SAML NameID 断言和 sub OAuth2.0 声明匹配。对于云中的 SAML SSO，必需的声明 Unique User Identifier (Name ID) 应为 user.objectID，Name identifier format 应为 persistent。

1. 组必须遵循组命名约定部分描述的命名约定。 如果您的公司有组命名策略，您应该改为从 description Microsoft Entra ID 属性进行映射，并根据组命名约定部分设置描述。

1. 在 Applications > Applications 下，选择您的 LangSmith 企业应用程序。
2. 在 Assignments 选项卡下，点击 Assign，然后选择 Assign to People 或 Assign to Groups。
3. 进行所需的选择，然后点击 Assign 和 Done。

1. 在 Provisioning 下将 Provisioning Status 设置为 On。
2. 监控初始同步以确保用户和组被正确配置。
3. 验证后，为用户和组映射启用 Delete 操作。

​

Okta 配置步骤

• 创建用户
• 更新用户属性
• 停用用户
• 组推送（不支持组重命名）
• 导入用户
• 导入组

1. 在 General 选项卡中，确保 LangSmithUrl 根据步骤 1的说明填写
2. 在 Provisioning 选项卡中，选择 Integration。
3. 选择 Edit，然后选择 Enable API integration。
4. 对于 API Token，粘贴您上面生成的 SCIM 令牌。
5. 保持 Import Groups 选中。
6. 要验证配置，请选择 Test API Credentials。
7. 选择 Save。
8. 保存 API 集成详细信息后，左侧会出现新的设置选项卡。选择 To App。
9. 选择 Edit。
10. 选择 Create Users、Update Users 和 Deactivate Users 的 Enable 复选框。
11. 选择 Save。
12. 在 Assignments 选项卡中分配用户和/或组。分配的用户将在您的 LangSmith 组中创建和管理。

1. 配置配置：在 Provisioning > To App > Provisioning to App 下，点击 Edit，然后选中 Create Users、Update User Attributes 和 Deactivate Users。
2. 在 <application_name> Attribute Mappings 下，按如下所示设置用户属性映射，并删除其余部分：

​

其他身份提供商

​

SSO 组同步（替代方案）

​

何时使用 SSO 组同步与 SCIM

​

配置

1. 在您的 IdP 中：将用户的组成员身份添加到 SSO 令牌声明（默认声明名称：groups）。组名必须遵循 SCIM 命名约定。
2. 在 LangSmith 中：转到 Settings → Members and roles → SSO Configuration → SSO Groups Sync 并配置以下内容：

   设置	描述
   Enable SSO Groups Sync	根据 SSO 令牌中的组成员身份自动分配工作区角色。
   Groups claim field（默认 groups）	SSO 令牌中包含组成员身份的声明名称。
   Sync workspace/role assignments	在每次 SSO 登录时根据组名更新工作区成员身份和角色。
   Require matching group to sign in	如果 SSO 令牌中没有匹配命名约定的组，则阻止登录。

curl -X PATCH $LANGCHAIN_ENDPOINT/api/v1/orgs/current/sso-settings/$SSO_PROVIDER_ID \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "sso_groups_enabled": true,
    "sso_groups_claim_field": "groups",
    "sso_groups_role_sync_enabled": true,
    "sso_groups_required": false
  }'

​

配置您的 IdP 以发出组 SAML 属性（云）

1. 配置您的 IdP 的 SAML 应用程序以发出多值组属性。
2. 添加一个匹配的条目到 Supabase 属性映射，以便该属性流向 JWT（选中 Array）。

• IdP 属性名称（例如，groups）必须与 Supabase 属性映射条目和 Groups claim field 值（默认 groups）都匹配。
• 该属性必须是多值的（字符串列表），而不是单个分隔字符串。如果您的 IdP 仅支持单值属性，您需要为每个组发出一个属性语句。
• 每个值必须是遵循 SCIM 命名约定的组名。
• 只有名称匹配约定的组才会被处理。LangSmith 会忽略不符合其命名约定的组，例如组织范围的目录组或应用程序分配组。您不需要在 IdP 端过滤这些——发出所有组，LangSmith 会跳过不相关的组。

​

组命名示例

​

行为

• 命名约定：组名遵循与 SCIM 相同的格式（例如，LS:Organization Admins 表示组织管理员，LS:Organization User:Production:Editor 表示工作区范围）。完整格式请参阅组命名约定。分隔符通过 scim_group_name_separator 按组织配置，并与 SCIM 共享。
• 格式错误的组名：不符合约定的组名会被静默跳过（记录日志），并且不会阻止有效组的登录。
• 登录门控：当启用 Require matching group to sign in 且 SSO 令牌包含零个匹配组时，登录将被阻止。
• 优先级：SSO 组同步不会修改 SCIM 来源的、手动分配的或 JIT 配置的成员身份。它对其自身的分配具有完全权威性，并在每次登录时根据令牌的组成员身份替换它们。
• 组织管理员传播：如果用户从其组中获得组织管理员角色，他们将在所有工作区中被授予工作区管理员（与 SCIM 行为相同）。

​

注意事项

• 取消配置延迟：与 SCIM（主动推送）不同，SSO 组同步仅在登录时更新。从 IdP 中移除组的用户将保留其现有的工作区访问权限，直到下次 LangSmith 登录。Require matching group to sign in 门控通过在下次登录时完全阻止用户来缓解此问题。
• 无回溯同步：更改角色映射或启用该功能不会更新现有用户，直到他们再次登录。
• 需要命名约定：客户必须按照 SCIM 约定命名其 IdP 组。如果您的 IdP 组遵循不同的命名策略，使用基于 description 映射的 SCIM（请参阅组属性）可能更合适。