用户管理

本页涵盖 LangSmith 中的用户管理功能，包括访问控制、身份验证和自动化用户配置：

• 设置访问控制：配置基于角色的访问控制（RBAC）来管理工作区内的用户权限，包括创建自定义角色并将其分配给用户。
• SAML 单点登录（企业版计划）：为企业客户使用 SAML 2.0 设置单点登录身份验证，包括为流行身份提供商的配置。
• SCIM 用户配置（企业版计划）：使用 SCIM 在您的身份提供商和 LangSmith 之间自动化用户配置和取消配置。

设置访问控制

RBAC（基于角色的访问控制）是仅对企业客户可用的功能。如果您对此功能感兴趣，请联系我们的销售团队。其他计划默认对所有用户使用 管理员 角色。

在设置访问控制之前，阅读 管理概述 页面可能会有所帮助。

LangSmith 依赖 RBAC 来管理工作区内的用户权限。这允许您控制谁可以访问您的 LangSmith 工作区以及他们可以在其中执行什么操作。只有具有 workspace:manage 权限的用户才能管理工作区的访问控制设置。

创建角色

默认情况下，LangSmith 附带一组系统角色：

• 管理员：对工作区内的所有资源具有完全访问权限。
• 查看者：对工作区内的所有资源具有只读访问权限。
• 编辑者：具有除工作区管理（添加/删除用户、更改角色、配置服务密钥）之外的所有权限。

如果这些不符合您的访问模型，组织管理员 可以创建自定义角色以满足您的需求。

要创建角色，请导航到组织设置页面的 成员和角色 部分中的 角色 选项卡。请注意，您创建的新角色将在您组织内的所有工作区中可用。

点击 创建角色 按钮以创建新角色。将打开一个 创建角色 表单。

为您想要控制访问权限的不同 LangSmith 资源分配权限。

将角色分配给用户

设置好角色后，您可以将它们分配给用户。要将角色分配给用户，请导航到组织设置页面的 工作区 部分中的 工作区成员 选项卡。

每个用户都会有一个 角色 下拉菜单，您可以使用它为他们分配角色。

您还可以邀请具有给定角色的新用户。

为您的组织设置 SAML 单点登录

单点登录（SSO）功能对企业云客户可用，通过单一身份验证源访问 LangSmith。这允许管理员集中管理团队访问权限，并使信息更加安全。

LangSmith 的 SSO 配置是使用 SAML（安全断言标记语言）2.0 标准构建的。SAML 2.0 允许将身份提供商（IdP）连接到您的组织，以实现更简单、更安全的登录体验。

SSO 服务允许用户使用一组凭据（例如，姓名或电子邮件地址和密码）访问多个应用程序。该服务仅对最终用户进行一次身份验证，以访问用户已被授予权限的所有应用程序，并在同一会话期间用户切换应用程序时消除进一步的提示。SSO 的好处包括：

• 为组织所有者简化跨系统的用户管理。
• 使组织能够强制执行自己的安全策略（例如，MFA）。
• 消除了最终用户记住和管理多个密码的需要。通过允许在多个应用程序的一个单一访问点登录，简化了最终用户体验。

即时（JIT）配置

LangSmith 在使用 SAML SSO 时支持即时配置。这允许通过 SAML SSO 登录的人自动作为成员加入组织和选定的工作区。

JIT 配置仅对新用户运行，即尚未通过其他登录方法使用相同电子邮件地址访问组织的用户。

登录方法和访问权限

一旦您完成了组织的 SAML SSO 配置，用户将能够通过 SAML SSO 以及其他登录方法（例如用户名/密码或 Google 身份验证）登录：

• 当通过 SAML SSO 登录时，用户只能访问配置了 SAML SSO 的相应组织。
• 仅将 SAML SSO 作为其登录方法的用户没有个人组织。
• 当通过任何其他方法登录时，用户可以访问配置了 SAML SSO 的组织以及他们所属的任何其他组织。

强制仅使用 SAML SSO

在强制仅使用 SAML SSO 的组织中不支持用户邀请。初始工作区成员资格和角色由 JIT 配置确定，之后的更改可以在 UI 中管理。 为了在自动化用户管理方面获得额外的灵活性，LangSmith 支持 SCIM。

为确保用户只能在使用 SAML SSO 且不使用其他方法登录时访问组织，请选中 仅通过 SSO 登录 复选框并点击 保存。一旦发生这种情况，通过非 SSO 登录方法访问组织的用户需要重新使用 SAML SSO 登录。可以通过取消选中该复选框并点击 保存 将此设置切换回允许所有登录方法。

您必须通过 SAML SSO 登录才能将此设置更新为 仅 SAML SSO。这是为了确保 SAML 设置有效并避免将用户锁定在您的组织之外。

要进行故障排除，请参阅 SAML SSO 常见问题解答。如果在设置 SAML SSO 时遇到问题，请通过 [e-mail] 联系 LangChain 支持团队。

先决条件

SAML SSO 对企业计划的组织可用。请联系销售以了解更多信息。

• 您的组织必须处于企业计划。
• 您的身份提供商（IdP）必须支持 SAML 2.0 标准。
• 只有组织管理员可以配置 SAML SSO。

有关将 SCIM 与 SAML 一起用于用户配置和取消配置的说明，请参阅 SCIM 设置。

初始配置

有关特定于 IdP 的配置步骤，请参阅以下之一：

• Entra ID
• Google
• Okta

1. 在您的 IdP 中：使用以下详细信息配置 SAML 应用程序，然后复制元数据 URL 或 XML 用于步骤 3。

   以下 URL 对于美国区和欧盟区是不同的。确保选择正确的链接。

   1. 单点登录 URL（或 ACS URL）：
      • 美国：https://auth.langchain.com/auth/v1/sso/saml/acs
      • 欧盟：https://eu.auth.langchain.com/auth/v1/sso/saml/acs
   2. 受众 URI（或 SP 实体 ID）：
      • 美国：https://auth.langchain.com/auth/v1/sso/saml/metadata
      • 欧盟：https://eu.auth.langchain.com/auth/v1/sso/saml/metadata
   3. Name ID 格式：电子邮件地址。
   4. 应用程序用户名：电子邮件地址。
   5. 必需的声明：sub 和 email。

2. 在 LangSmith 中：转到 设置 -> 成员和角色 -> SSO 配置。填写所需信息并提交以激活 SSO 登录：

   1. 填写 SAML 元数据 URL 或 SAML 元数据 XML。
   2. 选择 默认工作区角色 和 默认工作区。通过 SSO 登录的新用户将被添加到指定的工作区，并具有所选角色。

• 默认工作区角色 和 默认工作区 是可编辑的。更新的设置将仅适用于新用户，而不适用于现有用户。
• （即将推出）SAML 元数据 URL 和 SAML 元数据 XML 是可编辑的。这通常仅在加密密钥轮换/过期或元数据 URL 已更改但仍使用相同的 IdP 时才需要。

Entra ID (Azure)

有关更多信息，请参阅 Microsoft 的文档。

步骤 1：创建新的 Entra ID 应用程序集成

1. 使用特权角色（例如，全局管理员）登录 Azure 门户。在左侧导航窗格中，选择 Entra ID 服务。

2. 导航到 企业应用程序，然后选择 所有应用程序。

3. 点击 创建您自己的应用程序。

4. 在 创建您自己的应用程序 窗口中：

   1. 为您的应用程序输入一个名称（例如，LangSmith）。
   2. 选择 *集成您在库中找不到的任何其他应用程序（非库）**。

5. 点击 创建。

步骤 2：配置 Entra ID 应用程序并获取 SAML 元数据

1. 打开您创建的企业应用程序。

2. 在左侧导航中，选择 管理 > 单点登录。

3. 在单点登录页面上，点击 SAML。

4. 更新 基本 SAML 配置：

   1. 标识符（实体 ID）：
      • 美国：https://auth.langchain.com/auth/v1/sso/saml/metadata
      • 欧盟：https://eu.auth.langchain.com/auth/v1/sso/saml/metadata
   2. 回复 URL（断言消费者服务 URL）：
      • 美国：https://auth.langchain.com/auth/v1/sso/saml/acs
      • 欧盟：https://eu.auth.langchain.com/auth/v1/sso/saml/acs
   3. 将 中继状态、注销 URL 和 登录 URL 留空。
   4. 点击 保存。

5. 确保存在必需的声明，命名空间 为 http://schemas.xmlsoap.org/ws/2005/05/identity/claims：

   1. sub：user.objectid。
   2. emailaddress：user.userprincipalname 或 user.mail（如果使用后者，请确保所有用户在 联系信息 下都填写了 电子邮件 字段）。
   3. （可选）对于 SCIM，请参阅设置文档以获取有关 唯一用户标识符（名称 ID） 的具体说明。

6. 在基于 SAML 的登录页面上，在 SAML 证书 下，复制 应用程序联合元数据 URL。

步骤 3：设置 LangSmith SSO 配置

按照 填写所需信息 步骤下的初始配置说明，使用上一步中的元数据 URL。

步骤 4：验证 SSO 设置

1. 在 Entra ID 中将应用程序分配给用户/组：

   1. 选择 管理 > 用户和组。

   2. 点击 添加用户/组。

   3. 在 添加分配 窗口中：

      1. 在 用户 下，点击 未选择。
      2. 搜索您想要分配给企业应用程序的用户，然后点击 选择。
      3. 验证用户已被选中，然后点击 分配。

2. 让用户通过 SSO 配置 页面上的唯一登录 URL 登录，或者转到 管理 > 单点登录 并选择 使用（应用程序名称）测试单点登录。

Google

有关更多信息，请参阅 Google 的文档。

步骤 1：创建和配置 Google Workspace SAML 应用程序

1. 确保您已使用适当权限的管理员账户登录。

2. 在管理控制台中，转到 菜单 -> 应用 -> Web 和移动应用。

3. 点击 添加应用，然后 添加自定义 SAML 应用。

4. 输入应用名称，并可选地上传图标。点击 继续。

5. 在 Google 身份提供商详细信息页面上，下载 IDP 元数据 并保存用于步骤 2。点击 继续。

6. 在 服务提供商详细信息 窗口中，输入：

   1. ACS URL：
      • 美国：https://auth.langchain.com/auth/v1/sso/saml/acs
      • 欧盟：https://eu.auth.langchain.com/auth/v1/sso/saml/acs
   2. 实体 ID：
      • 美国：https://auth.langchain.com/auth/v1/sso/saml/metadata
      • 欧盟：https://eu.auth.langchain.com/auth/v1/sso/saml/metadata
   3. 将 起始 URL 和 签名响应 框留空。
   4. 将 名称 ID 格式设置为 EMAIL，并将 名称 ID 保留为默认值（基本信息 > 主要电子邮件）。
   5. 点击 继续。

7. 使用 添加映射 确保存在必需的声明：

   1. 基本信息 > 主要电子邮件 -> email

步骤 2：设置 LangSmith SSO 配置

按照 填写所需信息 步骤下的初始配置说明，使用上一步中的 IDP 元数据 作为元数据 XML。

步骤 3：在 Google 中打开 SAML 应用

1. 在 菜单 -> 应用 -> Web 和移动应用 下选择 SAML 应用。

2. 点击 用户访问。

3. 开启服务：

   1. 要为组织中的每个人开启服务，请点击 为所有人开启，然后点击 保存。

   2. 要为组织单位开启服务：

      1. 在左侧，选择组织单位，然后选择 开启。
      2. 如果服务状态设置为 继承，并且您希望即使父设置更改也保留更新的设置，请点击 覆盖。
      3. 如果服务状态设置为 已覆盖，则点击 继承 以恢复为其父级的相同设置，或点击 保存 以保留新设置，即使父设置更改。

   3. 要为跨组织单位或组织单位内的一组用户开启服务，请选择一个访问组。有关详细信息，请转到使用组自定义服务访问。

4. 确保您的用户用于登录 LangSmith 的电子邮件地址与他们用于登录您的 Google 域的电子邮件地址匹配。

步骤 4：验证 SSO 设置

让具有访问权限的用户通过 SSO 配置 页面上的唯一登录 URL 登录，或者转到 Google 中的 SAML 应用程序页面并点击 测试 SAML 登录。

Okta

支持的功能

• IdP 发起的 SSO（单点登录）
• SP 发起的 SSO
• 即时配置
• 强制仅使用 SSO

配置步骤

有关更多信息，请参阅 Okta 的文档。

步骤 1：创建和配置 Okta SAML 应用程序

通过 Okta 集成网络（推荐）

1. 登录 Okta。
2. 在右上角，选择 Admin。从管理区域看不到该按钮。
3. 选择 浏览应用集成目录。
4. 找到并选择 LangSmith 应用程序。
5. 在应用程序概览页面上，选择添加集成。
6. 将 ApiUrlBase 留空。
7. 填写 AuthHost：
   • 美国：auth.langchain.com
   • 欧盟：eu.auth.langchain.com
8. （可选，如果计划同时使用 SCIM）填写 LangSmithUrl：
   • 美国：api.smith.langchain.com
   • 欧盟：eu.api.smith.langchain.com
9. 在应用程序可见性下，保持复选框未选中。
10. 选择下一步。
11. 选择 SAML 2.0。
12. 填写 登录选项：
    • 应用程序用户名格式：电子邮件
    • 更新应用程序用户名于：创建和更新
    • 允许用户安全地查看其密码：保持未选中。
13. 从 登录选项 页面复制 元数据 URL 以在下一步中使用。

通过自定义应用集成

SCIM 与此配置方法不兼容。请参考 通过 Okta 集成网络。

1. 以管理员身份登录 Okta，并转到 Okta 管理控制台。

2. 在 应用程序 > 应用程序 下，点击 创建应用集成。

3. 选择 SAML 2.0。

4. 输入 应用名称（例如，LangSmith）并可选地输入 应用徽标，然后点击 下一步。

5. 在 配置 SAML 页面中输入以下信息：

   1. 单点登录 URL (ACS URL)。保持 将此用于收件人 URL 和目标 URL 选中：
      • 美国：https://auth.langchain.com/auth/v1/sso/saml/acs
      • 欧盟：https://eu.auth.langchain.com/auth/v1/sso/saml/acs
   2. 受众 URI（SP 实体 ID）：
      • 美国：https://auth.langchain.com/auth/v1/sso/saml/metadata
      • 欧盟：https://eu.auth.langchain.com/auth/v1/sso/saml/metadata
   3. 名称 ID 格式：持久。
   4. 应用程序用户名：email。
   5. 将其余字段留空或设置为默认值。
   6. 点击 下一步。

6. 点击 完成。

7. 从 登录 页面复制 元数据 URL 以在下一步中使用。

步骤 2：设置 LangSmith SSO 配置

按照 填写所需信息 步骤下的初始配置说明，使用上一步中的元数据 URL。

步骤 3：在 Okta 中将用户分配给 LangSmith

1. 在 应用程序 > 应用程序 下，选择在步骤 1 中创建的 SAML 应用程序。
2. 在 分配 选项卡下，点击 分配，然后选择 分配给人员 或 分配给组。
3. 进行所需的选择，然后 分配 并 完成。

步骤 4：验证 SSO 设置

让具有访问权限的用户通过 SSO 配置 页面上的唯一登录 URL 登录，或者让用户从其 Okta 仪表板中选择应用程序。

SP 发起的 SSO

一旦配置了服务提供商发起的 SSO，用户就可以使用唯一的登录 URL 登录。您可以在 LangSmith UI 中的 组织成员和角色 然后 SSO 配置 下找到此信息。

为您的组织设置 SCIM

跨域身份管理系统（SCIM）是一个开放标准，允许自动化用户配置。使用 SCIM，您可以自动在您的 LangSmith 组织和工作区中配置和取消配置用户，使用户访问权限与您组织的身份提供商保持同步。

SCIM 对企业计划的组织可用。联系销售以了解更多信息。

SCIM 在 Helm chart 版本 0.10.41（应用程序版本 0.10.108）及更高版本上可用。

SCIM 支持仅为 API（请参阅下面的说明）。

SCIM 消除了手动用户管理的需要，并确保用户访问权限始终与您组织的身份系统保持同步。这允许：

• 自动化用户管理：根据用户在您 IdP 中的状态，自动在 LangSmith 中添加、更新和删除用户。
• 减少管理开销：无需跨多个系统手动管理用户访问权限。
• 提高安全性：离开您组织的用户会自动从 LangSmith 取消配置。
• 一致的访问控制：用户属性和组成员资格在系统之间同步。
• 扩展团队访问控制：高效管理具有许多工作区和自定义角色的大型团队。
• 角色分配：为用户组选择特定的组织角色和工作区角色。

要求

先决条件

• 您的组织必须处于企业计划。
• 您的身份提供商（IdP）必须支持 SCIM 2.0。
• 只有组织管理员可以配置 SCIM。
• 对于云客户：SAML SSO 必须可为您的组织配置。
• 对于自托管客户：必须启用使用客户端密钥的 OAuth 身份验证模式。
• 对于自托管客户，必须允许从身份提供商到 LangSmith 的网络流量：
  • Microsoft Entra ID 支持允许列出 IP 范围或基于代理的解决方案以提供连接性。 （详细信息）。
  • Okta 支持允许列出 IP 或域（详细信息） 或基于代理的解决方案（详细信息）以提供连接性。

角色优先级

当用户属于同一工作区的多个组时，适用以下优先级：

1. 组织管理员组 具有最高优先级。这些组中的用户将在所有工作区中成为 管理员。
2. 最近创建的工作区特定组 优先于其他工作区组。

当组被删除或用户从组中移除时，他们的访问权限将根据他们剩余的组成员资格进行更新，遵循优先级规则。

SCIM 组成员资格将覆盖手动分配的角色或通过即时（JIT）配置分配的角色。我们建议禁用 JIT 配置以避免冲突。

电子邮件验证

仅在云中，使用 SCIM 创建新用户会向该用户触发一封电子邮件。 他们必须通过点击此电子邮件中的链接来验证其电子邮件地址。 该链接在 24 小时后过期，如果需要，可以通过 SCIM 移除并重新添加用户来重新发送。

属性和映射

组命名约定

组成员资格映射到 LangSmith 工作区成员资格和工作区角色，具有特定的命名约定：

组织管理员组

格式：<可选前缀>组织管理员 或 <可选前缀>组织管理员们

示例：

• LS:组织管理员们
• 组-组织管理员们
• 组织管理员

工作区特定组

格式：<可选前缀><组织角色名称>:<工作区名称>:<工作区角色名称>

示例：

• LS:组织用户:生产:标注者
• 组-组织用户:工程:开发者
• 组织用户:市场:查看者

映射

虽然具体说明可能因身份提供商而异，但这些映射显示了 LangSmith SCIM 集成支持的内容：

用户属性

LangSmith 应用属性	身份提供商属性	匹配优先级
userName1	电子邮件地址
active	!deactivated
emails[type eq "work"].value	电子邮件地址2
name.formatted	displayName 或 givenName + familyName3
givenName	givenName
familyName	familyName
externalId	sub4	1

1. userName 不是 LangSmith 必需的
2. 电子邮件地址是必需的
3. 如果您的 displayName 与 名 姓 的格式不匹配，请使用计算表达式
4. 为避免不一致，对于云客户，这应与 SAML NameID 断言匹配，对于自托管，应与 sub OAuth2.0 声明匹配。

组属性

LangSmith 应用属性	身份提供商属性	匹配优先级
displayName	displayName1	1
externalId	objectId
members	members

1. 组必须遵循 组命名约定 部分中描述的命名约定。 如果您的公司有组命名策略，您应该改为从 description 身份提供商属性映射，并根据 组命名约定 部分设置描述。

步骤 1 - 配置 SAML SSO（仅限云）

SAML SSO 配置有两种情况：

1. 如果您的组织已经配置了 SAML SSO，您应该跳过最初添加应用程序的步骤（从 Okta 集成网络添加应用程序 或 创建新的 Entra ID 应用程序集成），因为您已经配置了一个应用程序，只需要启用配置。
2. 如果您是首次与 SCIM 一起配置 SAML SSO，请首先按照说明设置 SAML SSO，然后 按照此处的说明启用 SCIM。

NameID 格式

LangSmith 使用 SAML NameID 来识别用户。NameID 是 SAML 响应中的必填字段，并且不区分大小写。

NameID 必须：

1. 对每个用户都是唯一的。
2. 是一个永不变更的持久值，例如随机生成的唯一用户 ID。
3. 在每次登录尝试时完全匹配。它不应依赖用户输入。

NameID 不应是电子邮件地址或用户名，因为电子邮件地址和用户名更可能随时间变化并且可能区分大小写。

NameID 格式必须是 持久，除非您使用的是需要不同格式的字段，如电子邮件。

步骤 2 - 禁用 JIT 配置

在启用 SCIM 之前，禁用即时（JIT）配置以防止自动和手动用户配置之间的冲突。

为云禁用 JIT

使用 PATCH /orgs/current/info 端点：

curl -X PATCH $LANGCHAIN_ENDPOINT/orgs/current/info \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"jit_provisioning_enabled": false}'

为自托管禁用 JIT

从 LangSmith chart 版本 0.11.14 开始，您可以为使用 SSO 的自托管组织禁用 JIT 配置。要禁用，请设置以下值：

commonEnv:
  - name: SELF_HOSTED_JIT_PROVISIONING_ENABLED
    value: "false"

步骤 3 - 生成 SCIM 持有者令牌

在自托管环境中，下面的完整 URL 可能看起来像 https://langsmith.yourdomain.com/api/v1/platform/orgs/current/scim/tokens（没有子域，注意 /api/v1 路径前缀）或 https://langsmith.yourdomain.com/subdomain/api/v1/platform/orgs/current/scim/tokens（有子域）- 有关更多详细信息，请参阅 入口文档。

为您的组织生成 SCIM 持有者令牌。此令牌将由您的 IdP 用于验证 SCIM API 请求。确保环境变量设置适当，例如：

curl -X POST $LANGCHAIN_ENDPOINT/v1/platform/orgs/current/scim/tokens \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"description": "您的描述在这里"}'

请注意，SCIM 持有者令牌值在此请求的响应之外不可用。这些额外的端点存在：

• GET /v1/platform/orgs/current/scim/tokens
• GET /v1/platform/orgs/current/scim/tokens/{scim_token_id}
• PATCH /v1/platform/orgs/current/scim/tokens/{scim_token_id}（仅支持 description 字段）
• DELETE /v1/platform/orgs/current/scim/tokens/{scim_token_id}

步骤 4 - 配置您的身份提供商

如果您使用 Azure Entra ID（以前称为 Azure AD）或 Okta，则有特定的身份提供商设置说明（请参阅 Azure Entra ID, Okta）。上述要求和步骤适用于所有身份提供商。

Azure Entra ID 配置步骤

有关更多信息，请参阅 Microsoft 的文档。

在自托管安装中，oid JWT 声明被用作 sub。 有关其他详细信息，请参阅此 Microsoft Learn 链接 和相关配置说明。

步骤 1：在您的企业应用程序中配置 SCIM

1. 使用特权角色（例如，全局管理员）登录 Azure 门户。
2. 导航到您现有的 LangSmith 企业应用程序。
3. 在左侧导航中，选择 管理 > 配置。
4. 点击 开始。

步骤 2：配置管理员凭据

1. 在 管理员凭据 下：

   • 租户 URL：

     • 美国：https://api.smith.langchain.com/scim/v2
     • 欧盟：https://eu.api.smith.langchain.com/scim/v2
     • 自托管：<langsmith_url>/scim/v2

   • 秘密令牌：输入在步骤 3 中生成的 SCIM 持有者令牌。

2. 点击 测试连接 以验证配置。

3. 点击 保存。

步骤 3：配置属性映射

在 映射 下配置以下属性映射：

用户属性

将 目标对象操作 设置为 创建 和 更新（开始时为安全起见禁用 删除）：

LangSmith 应用属性	Microsoft Entra ID 属性	匹配优先级
userName	userPrincipalName
active	Not([IsSoftDeleted])
emails[type eq "work"].value	mail1
name.formatted	displayName 或 Join(" ", [givenName], [surname])2
externalId	objectId3	1

1. 用户的电子邮件地址必须存在于 Entra ID 中。
2. 如果您的 displayName 与 名 姓 的格式不匹配，请使用 Join 表达式。
3. 为避免不一致，这应与 SAML NameID 断言和 sub OAuth2.0 声明匹配。对于云中的 SAML SSO，唯一用户标识符（名称 ID） 必需声明应为 user.objectID，名称标识符格式 应为 persistent。

组属性

将 目标对象操作 设置为仅 创建 和 更新（开始时为安全起见禁用 删除）：

LangSmith 应用属性	Microsoft Entra ID 属性	匹配优先级
displayName	displayName1	1
externalId	objectId
members	members

1. 组必须遵循 组命名约定 部分中描述的命名约定。 如果您的公司有组命名策略，您应该改为从 description Microsoft Entra ID 属性映射，并根据 组命名约定 部分设置描述。

步骤 4：分配用户和组

1. 在 应用程序 > 应用程序 下，选择您的 LangSmith 企业应用程序。
2. 在 分配 选项卡下，点击 分配，然后选择 分配给人员 或 分配给组。
3. 进行所需的选择，然后 分配 并 完成。

步骤 5：启用配置

1. 在 配置 下将 配置状态 设置为 开启。
2. 监控初始同步以确保用户和组正确配置。
3. 验证后，为用户和组映射启用 删除 操作。

要进行故障排除，请参阅 SAML SSO 常见问题解答。如果在设置 SCIM 时遇到问题，请通过 [e-mail] 联系 LangChain 支持团队。

Okta 配置步骤

您必须使用 Okta 生命周期管理 产品。此产品层级是使用 Okta 上的 SCIM 所必需的。

支持的功能

• 创建用户
• 更新用户属性
• 停用用户
• 组推送
• 导入用户
• 导入组

步骤 1：从 Okta 集成网络添加应用程序

如果您已经通过 SAML（云）或带有 OIDC 的 OAuth2.0（自托管）配置了 SSO 登录，请跳过此步骤。

有关云的设置，请参阅 SAML SSO 设置；有关自托管的设置，请参阅 OAuth2.0 设置。

步骤 2：配置 API 集成

1. 在常规选项卡中，确保 LangSmithUrl 已根据 步骤 1 中的说明填写。
2. 在配置选项卡中，选择 集成。
3. 选择 编辑 然后 启用 API 集成。
4. 对于 API 令牌，粘贴您上面生成的 SCIM 令牌。
5. 保持 导入组 选中。
6. 要验证配置，请选择测试 API 凭据。
7. 选择保存。
8. 保存 API 集成详细信息后，左侧会出现新的设置选项卡。选择 到应用。
9. 选择编辑。
10. 为创建用户、更新用户和停用用户选中启用复选框。
11. 选择保存。
12. 在分配选项卡中分配用户和/或组。分配的用户将在您的 LangSmith 组中创建和管理。

步骤 3：配置用户配置设置

1. 配置配置：在 配置 > 到应用 > 配置到应用 下，点击 编辑，然后勾选 创建用户、更新用户属性 和 停用用户。
2. 在 <应用程序名称> 属性映射 下，设置如下所示的用户属性映射，并删除其余部分：

步骤 4：推送组

Okta 不支持除组名本身之外的组属性，因此组名 必须 遵循 组命名约定 部分中描述的命名约定。

按照 Okta 的启用组推送说明，通过名称或规则配置要推送的组。

其他身份提供商

其他身份提供商尚未经过测试，但可能根据其 SCIM 实现的功能而工作。

---

在 GitHub 上编辑此页面的源代码。

通过 MCP 以编程方式连接这些文档 到 Claude、VSCode 等，以获取实时答案。