Using Kubernetes secrets (recommended)

按名称引用您现有的密钥。chart 读取 agent_builder_encryption_key, insights_encryption_key，以及 polly_encryption_key 并自动从中。

        config:
          existingSecretName: "<your-secret-name>"

        fleet:
          enabled: true

        insights:
          enabled: true

        # Chat (formerly Polly)
        polly:
          enabled: true

        fleetToolServer:
          enabled: true

        fleetTriggerServer:
          enabled: true
        

Using inline values

直接在配置文件中设置加密密钥。请避免将此文件提交到版本控制。

        fleet:
          enabled: true
          encryptionKey: "<fleet-encryption-key>"

        insights:
          enabled: true
          encryptionKey: "<insights-encryption-key>"

        polly:
          enabled: true
          encryptionKey: "<chat-encryption-key>"

        fleetToolServer:
          enabled: true

        fleetTriggerServer:
          enabled: true
        

Create OAuth client in GCP

在 Google Cloud Console.

Add URLs to GCP

将以下 URLs 添加到您的 OAuth 客户端，替换 <hostname> 替换为您 LangSmith 主机名和 <provider-id> 替换为您将使用的提供商 ID（例如， google):

已授权的 JavaScript 来源： - https://<hostname>

已授权的重定向 URI： - https://<hostname>/api-host/v2/auth/callback/<provider-id> - https://<hostname>/host-oauth-callback/<provider-id>

Copy credentials

复制 **客户端 ID** 和 **客户端密钥** 从 GCP OAuth 应用。

Configure OAuth provider in LangSmith

在 LangSmith 中，转到 **设置 > OAuth 提供商** 并添加一个新的提供商： - **客户端 ID**：来自 GCP - **客户端密钥**：来自 GCP - **授权 URL**: https://accounts.google.com/o/oauth2/auth - **令牌 URL**: https://oauth2.googleapis.com/token - **提供商 ID**：唯一字符串，例如： google

Apply the changes

将 LangSmith OAuth 提供商 ID 添加到您的 langsmith_config.yaml 并部署：

    fleet:
      oauth:
        providerOrgId: "<your-org-id>"
        googleOAuthProvider: "<provider-id>"
    

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

Create an Azure app registration

在 Microsoft Entra 管理中心, go to **应用程序 > 应用注册** 并创建新的注册。

Choose supported account types

选择与您的部署匹配账户类型。如果您需要来自多个 Microsoft Entra 租户的用户进行身份验证，请选择多租户选项。如果您的部署仅限于一个租户，您可以使用单租户应用注册。

Add the redirect URI

添加以下 Web 重定向 URI，替换 <hostname> 替换为您 LangSmith 主机名和 <provider-id> 替换为您提供商 ID：

    https://<hostname>/host-oauth-callback/<provider-id>
    

Create a client secret

In **证书和机密**，创建新的客户端机密。复制 **应用程序（客户端）ID** 和生成的客户端机密值。

Add Microsoft Graph delegated permissions

In **API 权限**，添加以下 Microsoft Graph 委派权限： - Mail.ReadWrite - Mail.Send - Calendars.ReadWrite - Team.ReadBasic.All - Channel.ReadBasic.All - Channel.Create - ChannelMessage.Send - ChannelMessage.Read.All - Chat.Create - Chat.ReadWrite - User.ReadBasic.All - Files.ReadWrite.All - Sites.ReadWrite.All

Grant tenant consent

如果您的 Microsoft 365 策略要求这些委派权限的租户管理员同意，请授予。

Configure OAuth provider in LangSmith

在 LangSmith 中，转到 **设置 > OAuth 提供商** 并添加一个新的提供商： - **名称**：例如， Microsoft - **提供商 ID**：唯一字符串，例如： microsoft-oauth-provider - **客户端 ID**：应用程序（客户端）ID 来自 Azure - **客户端密钥**：来自 Azure 的客户端密钥值 - **授权 URL**: https://login.microsoftonline.com/common/oauth2/v2.0/authorize - **令牌 URL**: https://login.microsoftonline.com/common/oauth2/v2.0/token - **提供商类型**: microsoft - **令牌端点身份验证方法**: client_secret_post

Apply the changes

将以下内容添加到您的 langsmith_config.yaml 并部署：

    fleet:
      oauth:
        providerOrgId: "<your-org-id>"
        microsoftOAuthProvider: "<provider-id>"
    

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

Create a Linear OAuth app

Go to Linear 设置 > API > 应用程序 并创建一个新的 OAuth 应用程序。

Add callback URL

设置回调 URL，替换 <hostname> 为您的 LangSmith 主机名，以及 <provider-id> 为您的提供商 ID：

    https://<hostname>/host-oauth-callback/<provider-id>
    

Copy credentials

创建应用后，复制 **客户端 ID** 和 **客户端密钥**.

Configure OAuth provider in LangSmith

在 LangSmith 中，转到 **设置 > OAuth 提供商** 并添加一个新的提供商： - **客户端 ID**：来自 Linear 应用 - **客户端密钥**：来自 Linear 应用 - **授权 URL**: https://linear.app/oauth/authorize - **令牌 URL**: https://api.linear.app/oauth/token - **提供商 ID**：唯一字符串，例如： linear

Apply the changes

将以下内容添加到您的 langsmith_config.yaml 并部署：

    fleet:
      oauth:
        providerOrgId: "<your-org-id>"
        linearOAuthProvider: "<provider-id>"
    

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

Create a LinkedIn OAuth app

Go to linkedin.com/developers/apps 并创建一个新应用。

Add redirect URI

在您的应用设置中，转到 **身份验证** 选项卡。添加以下重定向 URI，替换 <hostname> 为您的 LangSmith 主机名，以及 <provider-id> 为您的提供商 ID：

    https://<hostname>/host-oauth-callback/<provider-id>
    

Copy credentials

复制 **客户端 ID** 和 **客户端密钥** 从身份验证选项卡中获取。

Configure OAuth provider in LangSmith

在 LangSmith 中，转到 **设置 > OAuth 提供商** 并添加一个新的提供商： - **客户端 ID**：来自 LinkedIn 应用 - **客户端密钥**：来自 LinkedIn 应用 - **授权 URL**: https://www.linkedin.com/oauth/v2/authorization - **令牌 URL**: https://www.linkedin.com/oauth/v2/accessToken - **提供商 ID**：唯一字符串，例如： linkedin

Apply the changes

将以下内容添加到您的 langsmith_config.yaml 并部署：

    fleet:
      oauth:
        providerOrgId: "<your-org-id>"
        linkedinOAuthProvider: "<provider-id>"
    

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

Create an External Client App

在 Salesforce 中 **设置**，使用 **快速查找** 打开 **外部客户端应用管理器**，然后点击 **新建外部客户端应用**.

在 **基本信息**下，设置： - **外部客户端应用名称**：例如， LangSmith Fleet - **联系人邮箱**：管理员邮箱地址 - **分发状态**: **本地**

Enable OAuth and configure the OAuth settings

展开 **API（启用 OAuth 设置）** 并选择 **启用 OAuth**。然后配置：

• 回调 URL，将 <hostname> 替换为您的 LangSmith 主机名， <provider-id> 替换为您的提供商 ID：

    https://<hostname>/host-oauth-callback/<provider-id>
    

• 已选 OAuth 范围：添加 **通过 API 管理用户数据（api）** 和 **随时执行请求（刷新_令牌、离线_访问）**.
• - 保持 **Web 服务器流程需要密钥** selected.
• - 保留 **启用授权码和凭证流程** 和 **启用客户端凭证流程** 未选中。Fleet 使用标准的 Web 服务器（授权码）流程。

点击 **创建**.

Set the OAuth policies

打开应用，选择 **策略** 选项卡，然后点击 **编辑**:

• 刷新令牌策略：选择 **刷新令牌在撤销前有效**.
• 授权用户：保留 **所有用户均可自行授权**。如果选择 **管理员批准的用户已预授权** ，则必须先将应用分配给权限集或配置文件，否则授权将失败。

点击 **保存**.

Copy the credentials

在 **设置** 选项卡下，在 **OAuth 设置**，选择 **消费者密钥和密钥**。 **消费者密钥** 是您的客户端 ID， **消费者密钥** 是您的客户端密钥。

Configure OAuth provider in LangSmith

在 LangSmith 中，转到 **设置 > OAuth 提供商**，点击 **OAuth 提供商**，并填写： - **提供商 ID**：唯一字符串，例如： salesforce-oauth-provider。在下一步中使用相同的值用于 salesforceOAuthProvider 。 - **显示名称**：例如， Salesforce - **客户端 ID**：来自 Salesforce 的消费者密钥 - **客户端密钥**：来自 Salesforce 的消费者密钥 - **授权 URL**: https://.my.salesforce.com/services/oauth2/authorize - **令牌 URL**: https://.my.salesforce.com/services/oauth2/token

LangSmith 会根据令牌 URL 自动识别 Salesforce，因此没有提供商类型或令牌认证方法字段需要设置。将 **启用 PKCE** 关闭以匹配上面配置的 Web 服务器流程。

Apply the changes

将以下内容添加到您的 langsmith_config.yaml 并部署：

    fleet:
      oauth:
        providerOrgId: "<your-langsmith-org-id>"
        salesforceOAuthProvider: "<provider-id>"
    

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

Create a Slack app

Go to api.slack.com/apps 然后点击 **创建新应用**.

Add scopes

In **OAuth 和权限**，添加以下范围： - channels:history - channels:read - chat:write - groups:history - groups:read - im:history - im:read - im:write - mpim:history - team:read - users:read - users:read.email

Copy credentials from Slack

复制 **客户端 ID**, **客户端密钥**和 **签名密钥** 从 Slack 应用设置中。

Configure OAuth provider in LangSmith

在 LangSmith 中，转到 **设置 > OAuth 提供商** 并添加一个新的提供商： - **客户端 ID**：来自 Slack 应用 - **客户端密钥**：来自 Slack 应用 - **授权 URL**: https://slack.com/oauth/v2/authorize - **令牌 URL**: https://slack.com/api/oauth.v2.access - **提供商 ID**：唯一字符串，例如： slack

Add redirect URI to Slack

将以下重定向 URI 添加到你的 Slack 应用中，位置在 **OAuth 和权限 > 重定向 URL**，将 <hostname> 替换为你的 LangSmith 主机名，并将 <provider-id> 替换为你的提供商 ID（例如， slack):

    https://<hostname>/host-oauth-callback/<provider-id>
    

Get the bot ID

1. 从 **OAuth 和权限** 中获取 bot 令牌。
2. 运行以下命令：

    curl -X POST https://slack.com/api/auth.test \
      -H "Authorization: Bearer <bot-token>"
    

3. 从响应中复制 bot_id 。

Apply the changes

将以下内容添加到你的 langsmith_config.yaml 并部署：

    fleet:
      oauth:
        providerOrgId: "<your-org-id>"
        slackOAuthProvider: "<provider-id>"
        slackSigningSecret: "<signing-secret>"
        slackBotId: "<bot-id>"
    

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

Enable event subscriptions

1. 部署后，转到 **事件订阅** 在你的 Slack 应用中并启用事件。
2. 设置 **请求 URL** to:

       https://<hostname>/v1/triggers/webhooks/d809e66e-0000-4000-8000-000000000002
       

UUID 是一个固定的 LangSmith 标识符——不要替换它。

3. 添加以下 bot 事件： - message.channels - message.groups - message.im - message.mpim

Set up triggers and tools

1. 将 Slack bot 添加到你希望它读取的频道。 2. 在 Fleet 中配置 Slack 工具或触发器时，提供 **频道 ID** 和 **频道名称**.

Generate a client secret

下方 **Client secrets**，点击 **生成新的客户端密钥** 并复制该值。这是 FLEET_GITHUB_APP_CLIENT_SECRET。GitHub 仅显示一次。

Generate a private key

滚动到 **私钥** 并点击 **生成私钥**。GitHub 会下载一个 .pem 文件。请妥善保管此文件，因为它授予了对 GitHub App 的完全访问权限。PEM 内容为 FLEET_GITHUB_APP_PRIVATE_KEY.

Generate a state JWT secret

LangSmith 使用 HMAC 密钥对短生命周期 OAuth 状态令牌进行签名。生成一个：

    python3 -c "import secrets; print(secrets.token_urlsafe(48))"
    

这是 FLEET_GITHUB_APP_STATE_JWT_SECRET.

Create a Kubernetes secret

将敏感值存储在 Kubernetes secret 中：

    kubectl create secret generic fleet-github-app \
      --namespace <your-langsmith-namespace> \
      --from-literal=client_secret="<client-secret>" \
      --from-literal=webhook_secret="<webhook-secret>" \
      --from-literal=state_jwt_secret="<state-jwt-secret>" \
      --from-file=private_key=/path/to/fleet-app.private-key.pem
    

对于生产部署，请通过您现有的 secret 工作流程管理此 secret（例如， Sealed Secrets or External Secrets Operator）。请参阅 使用现有 secret 了解更多。

Add the configuration to your langsmith_config.yaml

添加以下内容，将占位符值替换为上面收集的非敏感值：

    commonEnv:
      - name: FLEET_GITHUB_APP_ID
        value: "<app-id>"
      - name: FLEET_GITHUB_APP_SLUG
        value: "<app-slug>"
      - name: FLEET_GITHUB_APP_PUBLIC_LINK
        value: "https://github.com/apps/<app-slug>"
      - name: FLEET_GITHUB_APP_CLIENT_ID
        value: "<client-id>"
      - name: FLEET_GITHUB_APP_CLIENT_SECRET
        valueFrom:
          secretKeyRef:
            name: fleet-github-app
            key: client_secret
      - name: FLEET_GITHUB_APP_PRIVATE_KEY
        valueFrom:
          secretKeyRef:
            name: fleet-github-app
            key: private_key
      - name: FLEET_GITHUB_APP_WEBHOOK_SECRET
        valueFrom:
          secretKeyRef:
            name: fleet-github-app
            key: webhook_secret
      - name: FLEET_GITHUB_APP_STATE_JWT_SECRET
        valueFrom:
          secretKeyRef:
            name: fleet-github-app
            key: state_jwt_secret

    fleetToolServer:
      deployment:
        extraEnv:
          - name: FLEET_GITHUB_APP_ENABLED
            value: "true"
    

Deploy and install the app on repositories

运行以下命令应用更改：

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

Pod 就绪后：

1. 在 LangSmith 中，打开一个 Fleet agent 并在 agent 编辑器中进入 GitHub 集成。
2. 点击 **连接 GitHub** 以在 Fleet 应访问的仓库上安装该应用。
3. 对于私有仓库，您必须在安装过程中明确选择每个仓库。

Review cluster organization

阅读 混合（传统）文档 中的集群组织指南，以了解如何为此用例进行组织。

Verify hybrid prerequisites

验证 混合部分 中新集群的先决条件。在第 5 步的 先决条件中，配置出口到您的 自托管 LangSmith 实例 而不是 https://api.host.langchain.com 和 https://api.smith.langchain.com.

Enable the feature in Postgres

针对您的 LangSmith Postgres 实例运行以下命令以启用此功能。记下工作区 ID 以便后续步骤使用。

    update organizations set config = config || '{"enable_lgp_listeners_page": true}' where id = '<org id here>';
    update tenants set config = config || '{"langgraph_remote_reconciler_enabled": true}' where id = '<workspace id here>';
    

Follow the hybrid setup guide

按照 混合设置指南中的第 2 到 6 步进行操作。设置 config.langsmithWorkspaceId 为上一步中的工作区 ID。

(Optional) Add more data planes to the same cluster

要在同一集群中添加多个数据平面，请按照 在同一集群中配置额外数据平面的说明.

Update your config

在您的 langsmith_config.yaml中，进行以下修改： - 设置 operator.watchNamespaces 为您的自托管 LangSmith 实例当前运行所在的命名空间。这可以防止与新数据平面添加的 operator 发生冲突。 - 使用 Gateway API or an Istio Gateway。调整您的 langsmith_config.yaml accordingly.

Apply the changes

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

Follow the hybrid setup guide

按照 混合设置指南中的第 2 到 6 步进行操作。设置 config.langsmithWorkspaceId 为上一步中的工作区 ID。设置 config.watchNamespaces 为与现有数据平面使用的不同的命名空间。

(Optional) Configure log access

配置控制平面从新命名空间读取 Agent Server 部署日志的访问权限。请参阅 从其他命名空间读取 Agent Server 日志.

Create a Kubernetes image pull secret

    kubectl create secret docker-registry langsmith-registry-secret \
        --docker-server=myregistry.com \
        --docker-username=your-username \
        --docker-password=your-password \
        --docker-email=your-email@example.com \
        -n langsmith
    

用您的注册表凭据替换这些值： - myregistry.com：您的注册表 URL - your-username：您的注册表用户名 - your-password: 您的镜像仓库密码或访问令牌 - langsmith: LangSmith 安装所在的 Kubernetes 命名空间

Configure the deployment template in your langsmith_config.yaml

要使 Agent Server 部署能够使用私有镜像仓库密钥，请添加 imagePullSecrets 到操作符的部署模板中：

    operator:
      templates:
        deployment: |
          apiVersion: apps/v1
          kind: Deployment
          metadata:
            name: ${name}
            namespace: ${namespace}
          spec:
            replicas: ${replicas}
            revisionHistoryLimit: 10
            selector:
              matchLabels:
                app: ${name}
            template:
              metadata:
                labels:
                  app: ${name}
              spec:
                enableServiceLinks: false
                imagePullSecrets:
                - name: langsmith-registry-secret
                containers:
                - name: api-server
                  image: ${image}
                  ports:
                  - name: api-server
                    containerPort: 8000
                    protocol: TCP
                  livenessProbe:
                    httpGet:
                      path: /ok
                      port: 8000
                    periodSeconds: 15
                    timeoutSeconds: 5
                    failureThreshold: 6
                  readinessProbe:
                    httpGet:
                      path: /ok
                      port: 8000
                    periodSeconds: 15
                    timeoutSeconds: 5
                    failureThreshold: 6
    

Apply the changes

    helm upgrade -i langsmith langchain/langsmith --values langsmith_config.yaml --version <version> -n <namespace> --wait --debug
    

所有通过 LangSmith UI 创建的用户部署都将继承这些镜像仓库凭证。

Create a Role with the required permissions

在 Agent Server 命名空间中创建一个 Role 替换 <data_plane_namespace>:

    kubectl apply -n <data_plane_namespace> -f - <


<section class="mdx-block"><h3>Get the control plane ServiceAccount</h3>

    替换 `<control_plane_namespace>`: