LangChain 中文文档

主题

账号管理

用户管理

本页面涵盖了 LangSmith 中的用户管理功能，包括访问控制、身份验证和自动化用户置备：

  • 设置访问控制：配置基于角色的访问控制 (RBAC) 以管理工作区内的用户权限，包括创建自定义角色并将其分配给用户。
  • SAML SSO (企业版方案)：为企业客户设置使用 SAML 2.0 的单点登录身份验证，包括主流身份提供者的配置。
  • SCIM 用户置备 (企业版方案)：使用 SCIM 在您的身份提供者和 LangSmith 之间自动化用户置备和取消置备。

设置访问控制 ​

RBAC (基于角色的访问控制) 是仅对企业版客户提供的功能。如果您对该功能感兴趣，请联系我们的销售团队。其他方案默认对所有用户使用 Admin 角色。

LangSmith 依赖 RBAC 来管理 工作区 内的用户权限。这允许您控制谁可以访问您的 LangSmith 工作区以及他们在其中可以执行的操作。只有拥有 workspace:manage 权限的用户才能管理工作区的访问控制设置。

有关工作区角色及其权限的完整参考，请参阅 基于角色的访问控制 指南。有关每个角色可以执行的具体操作，请参阅 组织和工作区操作参考。

创建角色 ​

默认情况下，LangSmith 附带了一组系统角色：

  • Admin：对工作区内的所有资源拥有完全访问权限。
  • Viewer：对工作区内的所有资源拥有只读访问权限。
  • Editor：拥有除工作区管理（添加/删除用户、更改角色、配置服务密钥）之外的所有权限。

如果这些不符合您的访问模型，Organization Admins 可以创建自定义角色以满足您的需求。

要创建角色，请导航到 组织设置页面 的 Members and roles 截面中的 Roles 选项卡。请注意，您创建的新角色可在组织内的所有工作区中使用。

点击 Create Role 按钮创建一个新角色。将打开一个 Create role 表单。

创建角色

为您想要控制访问权限的不同 LangSmith 资源分配权限。

为用户分配角色 ​

设置好角色后，您可以将其分配给用户。要为用户分配角色，请导航到 组织设置页面 的 Workspaces 截面中的 Workspace members 选项卡。

每个用户都会有一个 Role 下拉菜单，您可以使用它为他们分配角色。

分配角色

您也可以邀请具有特定角色的新用户。

邀请用户

为您的组织设置 SAML SSO ​

单点登录 (SSO) 功能适用于 企业版云端 客户，可通过单一身份验证源访问 LangSmith。这允许管理员集中管理团队访问权限，并确保信息更安全。

LangSmith 的 SSO 配置是使用 SAML (安全断言标记语言) 2.0 标准构建的。SAML 2.0 能够将身份提供者 (IdP) 连接到您的组织，从而获得更轻松、更安全的登录体验。

SSO 服务允许用户使用一组凭据（例如名称或电子邮件地址和密码）访问多个应用程序。该服务仅对最终用户进行一次身份验证，即可访问用户被赋予权限的所有应用程序，并消除用户在同一会话期间切换应用程序时进一步的提示。SSO 的好处包括：

  • 为组织所有者简化跨系统的用户管理。
  • 使组织能够实施自己的安全策略（例如 MFA）。
  • 消除最终用户记住和管理多个密码的需求。通过允许在多个应用程序的单一访问点登录，简化最终用户体验。

即时 (JIT) 置备 ​

LangSmith 在使用 SAML SSO 时支持即时 (JIT) 置备。这允许通过 SAML SSO 登录的人员自动作为成员加入组织和选定的工作区。

JIT 置备仅针对新用户运行，即尚未通过 不同的登录方法 使用相同电子邮件地址访问过该组织的用户。

登录方法和访问 ​

完成组织的 SAML SSO 配置后，用户除了可以利用其他登录方法（如用户名/密码或 Google 身份验证）外，还可以通过 SAML SSO 登录：

  • 通过 SAML SSO 登录时，用户只能访问配置了相应 SAML SSO 的组织。
  • 以 SAML SSO 作为唯一登录方法的用户没有 个人组织。
  • 通过任何其他方法登录时，用户可以访问配置了 SAML SSO 的组织以及他们所属的任何其他组织。

强制仅限 SAML SSO ​

强制仅限 SAML SSO 的组织不支持用户邀请。初始工作区成员身份和角色由 JIT 置备确定，后续更改可以在 UI 中管理。 为了在自动化用户管理中获得更大的灵活性，LangSmith 支持 SCIM。

为了确保用户在登录时只能使用 SAML SSO 而不能使用其他方法访问组织，请勾选 Login via SSO only 复选框并点击 Save。一旦发生这种情况，通过非 SSO 登录方法访问组织的用户将被要求使用 SAML SSO 重新登录。可以通过取消勾选该复选框并点击 Save 来切换回允许所有登录方法。

您必须通过 SAML SSO 登录才能将此设置更新为 Only SAML SSO。这是为了确保 SAML 设置有效并避免将用户锁定在您的组织之外。

有关故障排除，请参阅 SAML SSO 常见问题。如果您在设置 SAML SSO 时遇到问题，请通过 support.langchain.com 联系 LangChain 支持团队。

先决条件 ​

SAML SSO 适用于 企业版方案 的组织。请 联系销售人员 了解更多信息。

  • 您的组织必须使用的是企业版方案。
  • 您的身份提供者 (IdP) 必须支持 SAML 2.0 标准。
  • 只有 Organization Admins 可以配置 SAML SSO。

有关将 SCIM 与 SAML 一起用于用户置备和取消置备的说明，请参阅 SCIM 设置。

初始配置 ​

有关特定 IdP 的配置步骤，请参阅以下内容之一：

  1. 在您的 IdP 中：使用以下详细信息配置 SAML 应用程序，然后复制第 3 步的元数据 URL 或 XML。

以下 URL 在 US 和 EU 区域有所不同。请确保选择正确的链接。

  1. 单点登录 URL (或 ACS URL):

  1. 在 LangSmith 中：转到 Settings -> Members and roles -> SSO Configuration。填写所需信息并提交以激活 SSO 登录：

  2. 填写 SAML metadata URL 或 SAML metadata XML。

  3. 选择 Default workspace role 和 Default workspaces。通过 SSO 登录的新用户将以所选角色添加到指定的工作区中。

  • Default workspace role 和 Default workspaces 是可编辑的。更新后的设置仅适用于新用户，不适用于现有用户。
  • (即将推出) SAML metadata URL 和 SAML metadata XML 是可编辑的。这通常仅在加密密钥轮换/过期或元数据 URL 已更改但仍使用相同的 IdP 时才需要。

Entra ID (Azure) ​

有关其他信息，请参阅 Microsoft 的 文档。

步骤 1：创建一个新的 Entra ID 应用程序集成

  1. 使用特权角色（例如 Global Administrator）登录 Azure 门户。在左侧导航窗格中，选择 Entra ID 服务。

  2. 导航到 Enterprise Applications，然后选择 All Applications。

  3. 点击 Create your own application。

  4. 在 Create your own application 窗口中：

    1. 为您的应用程序输入一个名称（例如 LangSmith）。
    2. 选择 Integrate any other application you don't find in the gallery (Non-gallery)。

  5. 点击 Create。

步骤 2：配置 Entra ID 应用程序并获取 SAML 元数据

  1. 打开您创建的企业应用程序。

  2. 在左侧导航中，选择 Manage > Single sign-on。

  3. 在 Single sign-on 页面上，点击 SAML。

  4. 更新 基本 SAML 配置 (Basic SAML Configuration)：

    1. Identifier (Entity ID)：

  1. 确保存在带有 Namespace: http://schemas.xmlsoap.org/ws/2005/05/identity/claims 的必需声明：

    1. sub: user.objectid。
    2. emailaddress: user.userprincipalname 或 user.mail（如果使用后者，请确保在 Contact Information 下为所有用户填写了 Email 字段）。
    3. (可选) 对于 SCIM，请参阅 设置文档 了解有关 Unique User Identifier (Name ID) 的具体说明。

  2. 在基于 SAML 的登录页面上，在 SAML Certificates 下，复制 App Federation Metadata URL。

步骤 3：设置 LangSmith SSO 配置

按照 初始配置 中的说明进行 填写所需信息 步骤，使用上一步中的元数据 URL。

步骤 4：验证 SSO 设置

  1. 在 Entra ID 中将应用程序分配给用户/组：

    1. 选择 Manage > Users and groups。

    2. 点击 Add user/group。

    3. 在 Add Assignment 窗口中：

  2. 在 Users 下，点击 None Selected。

  3. 搜索您要分配给该企业应用程序的用户，然后点击 Select。

  4. 验证是否已选择该用户，然后点击 Assign。

  5. 让用户通过 SSO Configuration 页面上的唯一登录 URL 登录，或者转到 Manage > Single sign-on 并选择 Test single sign-on with (application name)。

Google ​

有关其他信息，请参阅 Google 的 文档。

步骤 1：创建并配置 Google Workspace SAML 应用程序

  1. 确保您已登录具有适当权限的管理员账户。

  2. 在管理控制台中，转到 菜单 -> 应用 -> 网页和移动应用。

  3. 点击 添加应用，然后点击 添加自定义 SAML 应用。

  4. 输入应用名称，并根据需要上传图标。点击 继续。

  5. 在 Google 身份提供者详细信息页面上，下载 IDP 元数据 (IDP metadata) 并将其保存以供第 2 步使用。点击 继续。

  6. 在 服务提供商详细信息 窗口中，输入：

    1. ACS URL：
  1. 使用 添加映射 (Add mapping) 确保存在必需的声明：
    1. Basic Information > Primary email -> email

步骤 2：设置 LangSmith SSO 配置

按照 初始配置 中的说明进行 填写所需信息 步骤，将上一步中的 IDP 元数据 (IDP metadata) 作为元数据 XML 使用。

步骤 3：在 Google 中开启 SAML 应用

  1. 在 菜单 -> 应用 -> 网页和移动应用 下选择 SAML 应用。

  2. 点击 用户访问权限。

  3. 开启服务：

    1. 要为组织中的所有人开启服务，请点击 对所有人开启，然后点击 保存。

    2. 要为组织部门开启服务：

  4. 在左侧选择组织部门，然后选择 开启。

  5. 如果服务状态设置为 继承 并且您想保留更新后的设置（即使父级设置发生更改），请点击 覆盖。

  6. 如果服务状态设置为 已覆盖，请点击 继承 以恢复到与其父级相同的设置，或者点击 保存 以保留新设置（即使父级设置发生更改）。

  7. 要为跨组织部门或组织部门内的某组用户开启服务，请选择访问组。有关详细信息，请访问 使用群组自定义服务访问权限。

  8. 确保您的用户登录 LangSmith 使用的电子邮件地址与他们登录 Google 网域使用的电子邮件地址相匹配。

步骤 4：验证 SSO 设置

让具有访问权限的用户通过 SSO Configuration 页面上的唯一登录 URL 登录，或者转到 Google 中的 SAML 应用程序页面并点击 测试 SAML 登录。

Okta ​

支持的功能 ​

  • IdP 发起的 SSO (单点登录)
  • SP 发起的 SSO
  • 即时 (Just-In-Time) 置备
  • 仅强制 SSO

配置步骤 ​

有关其他信息，请参阅 Okta 的 文档。

步骤 1：创建并配置 Okta SAML 应用程序

通过 Okta 集成网络 (推荐)

  1. 登录 Okta。
  2. 在右上角，选择 Admin。该按钮在管理区域中不可见。
  3. 选择 Browse App Integration Catalog。
  4. 找到并选择 LangSmith 应用程序。
  5. 在应用程序概览页面上，选择 Add Integration。
  6. 将 ApiUrlBase 留空。
  7. 填写 AuthHost：
    • US: auth.langchain.com
    • EU: eu.auth.langchain.com
  8. (可选，如果也计划使用 SCIM) 填写 LangSmithUrl：
    • US: api.smith.langchain.com
    • EU: eu.api.smith.langchain.com
  9. 在 Application Visibility 下，保持复选框不选中。
  10. 选择 Next。
  11. 选择 SAML 2.0。
  12. 填写 Sign-On Options：
    • Application username format: Email
    • Update application username on: Create and update
    • Allow users to securely see their password: 保持 不勾选。
  13. 从 Sign On Options 页面复制 Metadata URL 以在下一步中使用。

通过自定义应用集成

SCIM 与此配置方法不兼容。请参阅 通过 Okta 集成网络。

  1. 以管理员身份登录 Okta，并转到 Okta 管理控制台。

  2. 在 Applications > Applications 下点击 Create App Integration。

  3. 选择 SAML 2.0。

  4. 输入 App name（例如 LangSmith）和可选的 App logo，然后点击 Next。

  5. 在 Configure SAML 页面中输入以下信息：

    1. Single sign-on URL (ACS URL)。保持 Use this for Recipient URL and Destination URL 勾选：

  1. 点击 Finish。

  2. 从 Sign On 页面复制 Metadata URL 以在下一步中使用。

步骤 2：设置 LangSmith SSO 配置

按照 初始配置 中的说明进行 填写所需信息 步骤，使用上一步中的元数据 URL。

步骤 3：在 Okta 中为 LangSmith 分配用户

  1. 在 Applications > Applications 下，选择第 1 步中创建的 SAML 应用程序。
  2. 在 Assignments 选项卡下，点击 Assign，然后点击 Assign to People 或 Assign to Groups。
  3. 做出所需的选定，然后点击 Assign 和 Done。

步骤 4：验证 SSO 设置

让具有访问权限的用户通过 SSO Configuration 页面上的唯一登录 URL 登录，或者让用户从他们的 Okta 仪表板中选择该应用程序。

SP 发起的 SSO ​

配置好服务提供商发起的 SSO 后，用户可以使用唯一的登录 URL 登录。您可以在 LangSmith UI 中的 Organization members and roles，然后 SSO configuration 下找到它。

为您的组织设置 SCIM ​

跨域身份管理系统 (SCIM) 是一种允许自动化用户置备的开放标准。使用 SCIM，您可以在 LangSmith 组织和工作区 中自动置备和取消置备用户，从而使用户访问权限与您组织的身份提供者保持同步。

SCIM 适用于 企业版方案 的组织。请 联系销售人员 了解更多信息。

SCIM 适用于 Helm chart 版本 0.10.41 (应用程序版本 0.10.108) 及更高版本。

SCIM 支持仅限 API (请参阅下面的说明)。

SCIM 消除了手动管理用户的需求，并确保用户访问权限始终与您组织的身份系统保持一致。这使得可以：

  • 自动化用户管理：根据用户在 IdP 中的状态，在 LangSmith 中自动添加、更新和删除用户。
  • 减少管理开销：无需在多个系统中手动管理用户访问权限。
  • 提高安全性：离职用户会自动在 LangSmith 中取消置备。
  • 一致的访问控制：用户属性和组控制权在系统之间同步。
  • 扩展团队访问控制：高效管理具有许多工作区和自定义角色的大型团队。
  • 角色分配：为用户组选择特定的 组织角色 和 工作区角色。

要求 ​

先决条件 ​

  • 您的组织必须使用的是企业版方案。
  • 您的身份提供者 (IdP) 必须支持 SCIM 2.0。
  • 只有 Organization Admins 可以配置 SCIM。
  • 对于云端客户：必须能为您的组织配置 SAML SSO。
  • 对于自托管客户：必须启用 带 Client Secret 的 OAuth 身份验证模式。
  • 对于自托管客户，必须允许身份提供者到 LangSmith 的网络流量：
    • Microsoft Entra ID 支持白名单 IP 范围或基于代理的解决方案来提供连接。 (详情)。
    • Okta 支持白名单 IP 或域名 (详情) 或基于代理的解决方案 (详情) 来提供连接。

角色优先级 ​

当用户属于同一个工作区的多个组时，适用以下优先级：

  1. Organization Admin 个组 具有最高优先级。这些组中的用户在所有工作区中都将是 Admin。
  2. 最近创建的工作区特定组 优先于其他工作区组。

当删除组或将用户从组中移除时，他们的访问权限将根据其剩余的组身份以及优先级规则进行更新。

SCIM 组成员资格将覆盖手动分配的角色或通过即时 (JIT) 置备分配的角色。我们建议禁用 JIT 置备以避免冲突。

电子邮件验证 ​

仅在云端，使用 SCIM 创建新用户会向该用户触发一封电子邮件。 他们必须点击该邮件中的链接来验证其电子邮件地址。 该链接在 24 小时后过期，如有需要，可以通过 SCIM 移除并重新添加该用户来重新发送。

属性和映射 ​

命名规范 ​

不支持通过 SCIM 重命名组。组名称是持久的，因为它们必须与 LangSmith 中的角色名称和/或工作区名称匹配。

组成员资格通过特定的命名规范映射到 LangSmith 工作区成员资格和工作区角色：

组织管理员组 (Organization Admin Groups)

格式: <optional_prefix>Organization Admin 或 <optional_prefix>Organization Admins

示例:

  • LS:Organization Admins
  • Groups-Organization Admins
  • Organization Admin

工作区特定组 (Workspace-Specific Groups)

格式: <optional_prefix><org_role_name>:<workspace_name>:<workspace_role_name>

示例:

  • LS:Organization User:Production:Annotators
  • Groups-Organization User:Engineering:Developers
  • Organization User:Marketing:Viewers

映射 ​

虽然具体指令可能会因身份提供者而异，但这些映射显示了 LangSmith SCIM 集成所支持的内容：

用户属性 ​

LangSmith 应用属性身份提供者属性匹配优先级
userName1电子邮件地址
active!deactivated
emails[type eq "work"].value电子邮件地址2
name.formatteddisplayName 或 givenName + familyName3
givenNamegivenName
familyNamefamilyName
externalIdsub41
  1. LangSmith 不需要 userName。
  2. 电子邮件地址是必需的。
  3. 如果您的 displayName 不符合 名字 姓氏 的格式，请使用计算出的表达式。
  4. 为了避免不一致，对于云端客户，这应与 SAML NameID 断言匹配；对于自托管客户，这应与 sub OAuth2.0 声明匹配。

组属性 ​

LangSmith 应用属性身份提供者属性匹配优先级
displayNamedisplayName11
externalIdobjectId
membersmembers
  1. 组必须遵循 组命名规范 截面中描述的命名规范。 如果您的公司有组命名策略，您应该改为从 description 身份提供者属性进行映射，并根据 组命名规范 截面设置描述。

第 1 步 - 配置 SAML SSO (仅限云端) ​

SAML SSO 配置有两种场景：

  1. 如果已为您的组织配置了 SAML SSO，则应跳过初始添加应用程序的步骤（从 Okta 集成网络添加应用程序 或 创建一个新的 Entra ID 应用程序集成），因为您已经配置了一个应用程序，只需启用置备即可。
  2. 如果您是在配置 SCIM 的同时首次配置 SAML SSO，请先按照说明 设置 SAML SSO，然后 按照此处的说明启用 SCIM。

NameID 格式 ​

LangSmith 使用 SAML NameID 来标识用户。NameID 是 SAML 响应中必需的字段，且不区分大小写。

NameID 必须：

  1. 具有每个用户的唯一性。
  2. 是一个永远不会改变的持久值，例如随机生成的唯一用户 ID。
  3. 在每次登录尝试中精确匹配。它不应依赖于用户输入。

NameID 不应该是电子邮件地址或用户名，因为电子邮件地址和用户名更有可能随时间发生变化，并且可能区分大小写。

NameID 格式必须是 Persistent，除非您使用的字段（如电子邮件）需要不同的格式。

第 2 步 - 禁用 JIT 置备 ​

在启用 SCIM 之前，请禁用 即时 (JIT) 置备，以防止自动和手动用户置备之间发生冲突。

禁用云端的 JIT ​

使用 PATCH /orgs/current/info 终点：

bash
curl -X PATCH $LANGCHAIN_ENDPOINT/orgs/current/info \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"jit_provisioning_enabled": false}'

禁用自托管的 JIT ​

从 LangSmith chart 版本 0.11.14 开始，您可以使用 SSO 禁用自托管组织的 JIT 置备。要禁用，请设置以下值：

yaml
commonEnv:
  - name: SELF_HOSTED_JIT_PROVISIONING_ENABLED
    value: "false"

第 3 步 - 生成 SCIM Bearer 令牌 ​

在自托管环境中，下面的完整 URL 可能看起来像 https://langsmith.yourdomain.com/api/v1/platform/orgs/current/scim/tokens（不带子域名，注意 /api/v1 路径前缀）或 https://langsmith.yourdomain.com/subdomain/api/v1/platform/orgs/current/scim/tokens（带子域名）- 有关更多详细信息，请参阅 ingress 文档。

为您的组织生成一个 SCIM Bearer 令牌。该令牌将被您的 IdP 用于验证 SCIM API 请求。确保正确设置环境变量，例如：

bash
curl -X POST $LANGCHAIN_ENDPOINT/v1/platform/orgs/current/scim/tokens \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"description": "Your description here"}'

请注意，SCIM Bearer 令牌值在对此请求的响应之外不可用。还提供这些额外的终点：

  • GET /v1/platform/orgs/current/scim/tokens
  • GET /v1/platform/orgs/current/scim/tokens/{scim_token_id}
  • PATCH /v1/platform/orgs/current/scim/tokens/{scim_token_id} (仅支持 description 字段)
  • DELETE /v1/platform/orgs/current/scim/tokens/{scim_token_id}

第 4 步 - 配置您的身份提供者 ​

如果您使用的是 Azure Entra ID (前身为 Azure AD) 或 Okta，则有具体的身份提供者设置说明（请参阅 Azure Entra ID, Okta）。上述要求和步骤适用于所有身份提供者。

Azure Entra ID 配置步骤 ​

有关其他信息，请参阅 Microsoft 的 文档。

在自托管安装中，oid JWT 声明被用作 sub。 参阅 此 Microsoft Learn 链接 以及 相关的配置说明 了解更多详情。

步骤 1：在您的企业应用程序中配置 SCIM

  1. 使用特权角色（例如 Global Administrator）登录 Azure 门户。
  2. 导航到您现有的 LangSmith 企业应用程序。
  3. 在左侧导航中，选择 Manage > Provisioning。
  4. 点击 Get started。

步骤 2：配置管理员凭据

  1. 在 Admin Credentials 下：

    • Tenant URL:

  • US: https://api.smith.langchain.com/scim/v2

  • EU: https://eu.api.smith.langchain.com/scim/v2

  • 自托管: <langsmith_url>/scim/v2

    • Secret Token: 输入在第 3 步中生成的 SCIM Bearer 令牌。

  1. 点击 Test Connection 验证配置。

  2. 点击 Save。

步骤 3：配置属性映射

在 Mappings 下配置以下属性映射：

用户属性

将 Target Object Actions 设置为 Create 和 Update（为了安全起见，最初禁用 Delete）：

LangSmith 应用属性Microsoft Entra ID 属性匹配优先级
userNameuserPrincipalName
activeNot([IsSoftDeleted])
emails[type eq "work"].valuemail1
name.formatteddisplayName 或 Join(" ", [givenName], [surname])2
externalIdobjectId31
  1. 用户的电子邮件地址必须存在于 Entra ID 中。
  2. 如果您的 displayName 不符合 名字 姓氏 的格式，请使用 Join 表达式。
  3. 为了避免不一致，这应与 SAML NameID 断言和 sub OAuth2.0 声明匹配。对于云端中的 SAML SSO，必需的声明 Unique User Identifier (Name ID) 应为 user.objectID，且 Name identifier format 应为 persistent。

组属性

将 Target Object Actions 仅设置为 Create 和 Update（为了安全起见，最初禁用 Delete）：

LangSmith 应用属性Microsoft Entra ID 属性匹配优先级
displayNamedisplayName11
externalIdobjectId
membersmembers
  1. 组必须遵循 组命名规范 截面中的描述。 如果您的公司有组命名策略，您应该改为从 description Microsoft Entra ID 属性进行映射，并根据 组命名规范 截面设置描述。

步骤 4：分配用户和组

  1. 在 Applications > Applications 下，选择您的 LangSmith 企业应用程序。
  2. 在 Assignments 选项卡下，点击 Assign，然后点击 Assign to People 或 Assign to Groups。
  3. 做出所需的选定，然后点击 Assign 和 Done。

步骤 5：启用置备

  1. 在 Provisioning 下将 Provisioning Status 设置为 On。
  2. 监视初始同步以确保正确置备了用户和组。
  3. 验证后，为用户和组映射启用 Delete 操作。

有关故障排除，请参阅 SAML SSO 常见问题。如果您在设置 SCIM 时遇到问题，请通过 support.langchain.com 联系 LangChain 支持团队。

Okta 配置步骤 ​

您必须使用 Okta 生命周期管理 (Okta Lifecycle Management) 产品。该产品层级是在 Okta 上使用 SCIM 所必需的。

支持的功能

  • 创建用户
  • 更新用户属性
  • 停用用户
  • 组推送 (无组重命名)
  • 导入用户
  • 导入组

步骤 1：从 Okta 集成网络添加应用程序

如果您已经通过 SAML (云端) 或带有 OIDC 的 OAuth2.0 (自托管) 配置了 SSO 登录，请跳过此步骤。

参阅云端的 SAML SSO 设置 或自托管的 OAuth2.0 设置。

步骤 2：配置 API 集成

  1. 在 General 选项卡中，确保根据 第 1 步 的说明填写了 LangSmithUrl。
  2. 在 Provisioning 选项卡中，选择 Integration。
  3. 选择 Edit 然后选择 Enable API integration。
  4. 对于 API Token，粘贴您在 上文生成的 SCIM 令牌。
  5. 保持 Import Groups 勾选。
  6. 要验证配置，请选择 Test API Credentials。
  7. 选择 Save。
  8. 保存 API 集成详细信息后，左侧会出现新的设置选项卡。选择 To App。
  9. 选择 Edit。
  10. 勾选 Create Users、Update Users 和 Deactivate Users 的 Enable 复选框。
  11. 选择 Save。
  12. 在 Assignments 选项卡中分配用户和/或组。分配的用户将在您的 LangSmith 组中创建和管理。

步骤 3：配置用户置备设置

  1. 配置置备：在 Provisioning > To App > Provisioning to App 下，点击 Edit，然后勾选 Create Users、Update User Attributes 和 Deactivate Users。
  2. 在 <application_name> Attribute Mappings 下，如下所示设置用户属性映射，并删除其余映射：

SCIM Okta 用户属性映射

步骤 4：推送组 (Push Groups)

Okta 不支持除组名称本身之外的组属性，因此组名称 必须 遵循 组命名规范 截面中描述的命名规范。

按照 Okta 的 启用组推送 说明配置按名称或按规则推送组。

其他身份提供者 ​

其他身份提供者尚未经过测试，但可能根据其 SCIM 实现发挥作用。

LangChain 中文文档

Copyright © 王码码