为您的 LangSmith 安装配置镜像仓库

默认情况下，LangSmith 会从我们的公共 Docker 镜像仓库拉取镜像。但是，如果您是在一个没有互联网连接的环境中运行 LangSmith，或者您想使用一个私有的 Docker 镜像仓库，您可以将镜像复制到您自己的镜像仓库，然后配置您的 LangSmith 安装以使用这些镜像。

要求

您的 Kubernetes 集群/机器可以访问一个经过认证的 Docker 镜像仓库。
您的本地机器或能够访问该镜像仓库的机器上已安装 Docker。
一个您可以运行 LangSmith 的 Kubernetes 集群。

镜像镜像

从 LangSmith 0.16.21 (Helm Chart 0.16.0-rc.17) 开始，所需的镜像更少了。 平台后端、交互式游乐场、宿主后端以及 Fleet 工具服务器和触发服务器现在都运行在单一的 langsmith-backend 镜像中，因此您不再需要镜像 langsmith-go-backend、langsmith-playground、hosted-langserve-backend、agent-builder-tool-server 或 agent-builder-trigger-server（或其 -fips 变体）。相应的 values.yaml 键：platformBackendImage、playgroundImage、hostBackendImage、fleetToolServerImage 和 fleetTriggerServerImage 已从 Chart 中移除；您为它们设置的任何值都将被忽略。如果您正在安装更早的版本，请像之前一样继续镜像这些镜像并设置那些键。

为了方便您，我们提供了一个脚本来为您完成镜像操作。您可以在 LangSmith Helm Chart 仓库中找到该脚本。要使用该脚本，您需要运行以下命令，指定您的镜像仓库和平台：

bash mirror_images.sh <your-registry> [<platform>]

其中 <your-registry> 是您的 Docker 镜像仓库的 URL（例如 myregistry.com），<platform> 是您使用的平台（例如 linux/amd64、linux/arm64 等）。如果不指定平台，将默认使用 linux/amd64。例如，如果您的镜像仓库是 myregistry.com，您的平台是 linux/arm64，并且您想使用最新版本的镜像，您将运行：

bash mirror_langsmith_images.sh --registry myregistry --platform linux/arm64 --version 0.10.66

请注意，此脚本假设您已安装 Docker 并且已登录到您的镜像仓库。它还会将镜像推送到指定的镜像仓库，保持与原始镜像相同的仓库/标签。或者，您也可以手动拉取、复制和推送镜像。您需要镜像的镜像列表可以在 LangSmith Helm Chart 的 values.yaml 文件中找到。可以在这里查看：LangSmith Helm Chart values.yaml 以下是使用 Docker 镜像镜像的示例：

# Pull the images from the public registry
docker pull langchain/langsmith-backend:latest
docker tag langchain/langsmith-backend:latest <your-registry>/langsmith-backend:latest
docker push <your-registry>/langsmith-backend:latest

您需要对每个想要镜像的镜像重复此操作。

配置

镜像镜像完成后，您需要配置您的 LangSmith 安装以使用这些镜像。您可以通过修改您的 LangSmith Helm Chart 安装的 values.yaml 文件来完成此操作。将标签替换为您想要部署的 LangSmith 版本。以下示例使用 0.16.21。

images:
  imagePullSecrets: [] # 如果需要，在此处添加您的镜像拉取密钥
  registry: "" # 如果您使用我们的脚本将所有镜像复制到了同一个镜像仓库，请将其设置为您的镜像仓库 URL。然后您可以从下面的镜像中移除仓库前缀。
  aceBackendImage:
    repository: "(your-registry)/langchain/langsmith-ace-backend"
    pullPolicy: IfNotPresent
    tag: "0.16.21"
  backendImage:
    repository: "(your-registry)/langchain/langsmith-backend"
    pullPolicy: IfNotPresent
    tag: "0.16.21"
  frontendImage:
    repository: "(your-registry)/langchain/langsmith-frontend"
    pullPolicy: IfNotPresent
    tag: "0.16.21"
  operatorImage:
    repository: "(your-registry)/langchain/langgraph-operator"
    pullPolicy: IfNotPresent
    tag: "6cc83a8"
  postgresImage:
    repository: "(your-registry)/postgres"
    pullPolicy: IfNotPresent
    tag: "14.7"
  redisImage:
    repository: "(your-registry)/redis"
    pullPolicy: IfNotPresent
    tag: "7"
  clickhouseImage:
    repository: "(your-registry)/clickhouse/clickhouse-server"
    pullPolicy: Always
    tag: "24.8"

Fleet 和 Insights 的附加镜像

如果您正在使用 Fleet 或 Insights，LangGraph 运算符会为每个部署动态创建 Redis 和 PostgreSQL (pgvector) Pod。这些 Pod 使用运算符模板中定义的镜像，需要单独配置。您必须镜像这些附加镜像：

docker.io/redis:7
docker.io/pgvector/pgvector:pg15

然后在您的 values.yaml 中覆盖运算符模板，以使用您镜像的镜像：

operator:
  templates:
    redis: |
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: ${service_name}
        namespace: ${namespace}
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: ${service_name}
        template:
          metadata:
            labels:
              app: ${service_name}
          spec:
            enableServiceLinks: false
            containers:
            - name: redis
              image: (your-registry)/redis:7
              ports:
              - containerPort: 6379
                name: redis
              livenessProbe:
                exec:
                  command:
                  - redis-cli
                  - ping
                initialDelaySeconds: 30
                periodSeconds: 10
              readinessProbe:
                tcpSocket:
                  port: 6379
                initialDelaySeconds: 10
                periodSeconds: 5
    db: |
      apiVersion: apps/v1
      kind: StatefulSet
      metadata:
        name: ${service_name}
      spec:
        serviceName: ${service_name}
        selector:
          matchLabels:
            app: ${service_name}
        persistentVolumeClaimRetentionPolicy:
          whenDeleted: Delete
          whenScaled: Retain
        template:
          metadata:
            labels:
              app: ${service_name}
          spec:
            containers:
            - name: postgres
              image: (your-registry)/pgvector/pgvector:pg15
              ports:
              - containerPort: 5432
              command: ["docker-entrypoint.sh"]
              args:
                - postgres
                - -c
                - max_connections=${max_connections}
              env:
              - name: PGDATA
                value: /var/lib/postgresql/data/pgdata
              volumeMounts:
              - name: postgres-data
                mountPath: /var/lib/postgresql/data
            enableServiceLinks: false
        volumeClaimTemplates:
        - metadata:
            name: postgres-data
          spec:
            accessModes: ["ReadWriteOnce"]
            resources:
              requests:
                storage: "${storage_gi}Gi"

将 (your-registry) 替换为您的镜像仓库 URL。模板变量（${service_name}, ${namespace}, ${max_connections}, ${storage_gi}）由运算符在运行时替换，必须保持原样。配置完成后，您需要更新您的 LangSmith 安装。您可以在此处按照我们的升级指南操作：升级 LangSmith。如果升级成功，您的 LangSmith 实例现在应该正在使用来自您 Docker 镜像仓库的镜像。

验证镜像签名

镜像签名从 v15 版本开始可用（LangSmith 应用版本 0.15.x 及更高版本）。在 v14-stable 及更早渠道上的旧版本未签名，无法通过以下步骤验证。

在 docker.io/langchain/* 上的稳定渠道 LangSmith 镜像在发布时会使用来自发布工作流的无密钥 Sigstore/Cosign 进行签名。签名身份绑定到特定的 GitHub Actions 工作流、运行和提交，因此签名不仅证明镜像是真实的，还证明它是由在 langchain-ai/langchainplus 中运行的稳定分支发布流水线产生的。您可以在拉取或复制镜像前验证签名，也可以在复制后再次验证以确认您复制的摘要与我们签名的摘要匹配。安装 cosign (安装指南)，然后验证任意标签：

cosign verify \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  --certificate-identity-regexp 'https://github\.com/langchain-ai/langchainplus/\.github/workflows/release_self_hosted_on_version_bump\.yaml@refs/heads/v[0-9]+-stable' \
  docker.io/langchain/langsmith-backend:<tag>

成功的验证确认：

签名上的 cosign 声明是有效的。
证书链到 Sigstore 根，并记录在 Rekor 透明日志中。
签名证书是通过 GitHub Actions OIDC 颁发给稳定分支发布工作流的。

通过替换仓库名（langsmith-frontend, langsmith-go-backend, agent-builder-deep-agent, langsmith-clio, langsmith-polly, agent-builder-tool-server, agent-builder-trigger-server, hosted-langserve-backend, langsmith-playground, langsmith-ace-backend，以及它们的 *-fips 变体），同样的命令适用于任何已发布的镜像。

固定到特定版本

为了进行更严格的验证——例如，固定到单个稳定分支或特定提交——请删除正则表达式并提供确切的证书身份。每个签名的证书还携带工作流运行 ID 和提交 SHA 作为主题替代名称扩展，因此您可以约束到特定版本：

cosign verify \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  --certificate-identity 'https://github.com/langchain-ai/langchainplus/.github/workflows/release_self_hosted_on_version_bump.yaml@refs/heads/v15-stable' \
  docker.io/langchain/langsmith-backend:0.15.9

要检查证书的声明（工作流运行、提交、运行器），请下载证明文件并解码嵌入的证书：

cosign download attestation docker.io/langchain/langsmith-backend:<tag>

验证 SBOM 证明

发布的镜像还附带签名的 CycloneDX 软件物料清单 (SBOM) 证明，镜像索引中的每个架构一个。每个架构的 SBOM 也附加在多架构索引摘要上，因此您可以直接针对裸标签进行验证：

cosign verify-attestation \
  --type cyclonedx \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  --certificate-identity-regexp 'https://github\.com/langchain-ai/langchainplus/\.github/workflows/release_self_hosted_on_version_bump\.yaml@refs/heads/v[0-9]+-stable' \
  docker.io/langchain/langsmith-backend:<tag>

该命令针对每个架构返回一个经过验证的声明。成功的验证提供与镜像签名相同的保证：证明由稳定分支发布工作流产生，并且其声明记录在 Rekor 透明日志中。

获取 SBOM

要将 SBOM 输入漏洞扫描器或 SBOM 管理工具，请将经过验证的 CycloneDX 文档提取到文件中。由于索引针对每个架构携带一个声明，请首先解析单个架构的子摘要，以便您获得一个 CycloneDX 文档，而不是每个架构一个。列出某个标签的每个架构摘要：

docker buildx imagetools inspect --raw docker.io/langchain/langsmith-backend:<tag> \
  | jq -r '.manifests[] | select(.platform.os == "linux") | .digest + "  " + .platform.architecture'

然后验证该摘要，并将解码后的谓词（一个列出镜像中每个包的标准 CycloneDX 文档）保存到文件：

cosign verify-attestation \
  --type cyclonedx \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  --certificate-identity-regexp 'https://github\.com/langchain-ai/langchainplus/\.github/workflows/release_self_hosted_on_version_bump\.yaml@refs/heads/v[0-9]+-stable' \
  docker.io/langchain/langsmith-backend@<digest> \
  | jq -r '.payload' | base64 -d | jq '.predicate' > langsmith-backend.cdx.json

您可以将生成的 langsmith-backend.cdx.json 直接传递给扫描器，例如 Grype (grype sbom:langsmith-backend.cdx.json) 或 Trivy (trivy sbom langsmith-backend.cdx.json)。

通过 cosign verify-attestation（而不是 cosign download attestation）提取 SBOM，可确保您仅消费签名和签名身份已得到验证的 SBOM。

Connect these docs to Claude, VSCode, and more via MCP for real-time answers.

Edit this page on GitHub or file an issue.

Get started by cloud provider

Deploy with Terraform

Setup guides

Configuration

Connect external services

Platform auth & access control

Self-hosted observability

Hybrid

Scripts

Reference

为您的 LangSmith 安装配置镜像仓库

要求

镜像镜像

配置

Fleet 和 Insights 的附加镜像

验证镜像签名

固定到特定版本

验证 SBOM 证明

获取 SBOM

​要求

​镜像镜像

​配置

​Fleet 和 Insights 的附加镜像

​验证镜像签名

​固定到特定版本

​验证 SBOM 证明

​获取 SBOM

要求

镜像镜像

配置

Fleet 和 Insights 的附加镜像

验证镜像签名

固定到特定版本

验证 SBOM 证明

获取 SBOM