User management

---
title: 用户管理
sidebarTitle: 用户管理
keywords: ['scim']
---

import SaasRegionUrls from '/snippets/python/langsmith/saas-region-urls.mdx';

本页面介绍 LangSmith 的用户管理功能，包括访问控制、身份验证和自动化用户配置：

- [设置访问控制](#set-up-access-control)：配置基于角色的访问控制（RBAC）来管理工作空间内的用户权限，包括创建自定义角色并将其分配给用户。
- [SAML SSO（企业版计划）](#set-up-saml-sso-for-your-organization)：为企业客户使用 SAML 2.0 设置单点登录（SSO）身份验证，包括主流身份提供商的配置。
- [SCIM 用户配置（企业版计划）](#set-up-scim-for-your-organization)：使用 SCIM 在您的身份提供商和 LangSmith 之间自动化用户配置和取消配置。

## 设置访问控制

<Note>
RBAC（基于角色的访问控制）是仅对企业客户可用的功能。如果您对此功能感兴趣，[请联系我们的销售团队](https://www.langchain.com/contact-sales)。其他计划默认对所有用户使用 [`Admin` 角色](/langsmith/administration-overview)。
</Note>

<Check>
在设置访问控制之前，您可能会发现阅读[管理概述](/langsmith/administration-overview)页面会很有帮助。
</Check>

LangSmith 依靠 RBAC 来管理[工作空间](/langsmith/administration-overview#workspaces)内的用户权限。这使您可以控制谁可以访问您的 LangSmith 工作空间以及他们可以在其中执行的操作。具有 `workspaces:manage` 权限的用户可以管理工作空间设置，具有 `workspaces:manage-members` 权限的用户可以添加、移除和更新工作空间成员。内置的 Workspace Admin 角色包含这两个权限。

有关工作空间角色及其权限的完整参考，请参阅[基于角色的访问控制](/langsmith/rbac#workspace-roles)指南。有关每个角色可执行的具体操作，请参阅[组织和工作空间操作参考](/langsmith/organization-workspace-operations)。

### 创建角色

默认情况下，LangSmith 自带一组系统角色：

- `Admin`：对工作空间内所有资源拥有完全访问权限。
- `Viewer`：对工作空间内所有资源拥有只读访问权限。
- `Editor`：拥有除工作空间管理（添加/移除用户、更改角色、配置服务密钥）之外的所有权限。

如果这些不符合您的访问模型，`Organization Admins` 可以创建自定义角色以满足您的需求。

要创建角色，请导航至[组织设置页面](https://smith.langchain.com/settings)的 **成员和角色** 部分中的 **角色** 选项卡。请注意，您创建的新角色将在组织内的所有工作空间中可用。

点击 **创建角色** 按钮以创建新角色。将打开一个 **创建角色** 表单。

![创建角色](/langsmith/images/create-role.png)

为您想要控制访问权限的 LangSmith 资源分配权限。

### 为用户分配角色

设置好角色后，您可以将它们分配给用户。要为用户分配角色，请导航至[组织设置页面](https://smith.langchain.com/settings)的 `工作空间` 部分中的 `工作空间成员` 选项卡。

每个用户将有一个 **角色** 下拉菜单，您可以使用它为他们分配角色。

![分配角色](/langsmith/images/assign-role.png)

您也可以邀请新用户并指定给定的角色。

![邀请用户](/langsmith/images/invite-user.png)

## 为您的组织设置 SAML SSO

单点登录（SSO）功能可供**企业版云客户**使用，通过单一身份验证源访问 LangSmith。这允许管理员集中管理团队访问，并使信息更加安全。

LangSmith 的 SSO 配置使用 SAML（安全断言标记语言）2.0 标准构建。SAML 2.0 能够将身份提供商（IdP）连接到您的组织，从而获得更轻松、更安全的登录体验。

SSO 服务允许用户使用一组凭据（例如，姓名或电子邮件地址和密码）访问多个应用程序。该服务仅为用户已被授予权限的所有应用程序对最终用户进行一次身份验证，并在用户在同一会话期间切换应用程序时消除进一步的提示。SSO 的好处包括：

- 为组织所有者简化跨系统的用户管理。
- 使组织能够强制执行自己的安全策略（例如，MFA）。
- 消除了最终用户记住和管理多个密码的需求。通过允许跨多个应用程序的单一访问点登录，简化最终用户体验。

### 即时（JIT）配置

LangSmith 在使用 SAML SSO 时支持即时配置。这允许通过 SAML SSO 登录的人员自动作为成员加入组织和选定的工作空间。有关管理 JIT 配置和用户邀请的详细信息，请参阅[在 SSO 组织中管理用户访问](/langsmith/jit-invite-sso)。

<Note>
JIT 配置仅对新用户运行，即那些尚未通过[其他登录方法](/langsmith/authentication-methods#cloud)以相同电子邮件地址访问组织的用户。
</Note>

### 登录方法和访问权限

为您的组织完成 SAML SSO 配置后，除了[其他登录方法](/langsmith/authentication-methods#cloud)（如用户名/密码或 Google 身份验证）外，用户将能够通过 SAML SSO 登录：

- 通过 SAML SSO 登录时，用户只能访问配置了 SAML SSO 的相应组织。
- 仅将 SAML SSO 作为其登录方法的用户没有[个人组织](/langsmith/administration-overview#organizations)。
- 通过任何其他方法登录时，用户可以访问配置了 SAML SSO 的组织以及他们所属的任何其他组织。

### 强制仅使用 SAML SSO

<Note>
在强制仅使用 SAML SSO 的组织中，不支持用户邀请。初始工作空间成员资格和角色由 [JIT 配置](/langsmith/jit-invite-sso#jit-provisioning)决定，之后的更改可以在 UI 中管理。
为了在自动化用户管理方面提供更大的灵活性，LangSmith 支持 SCIM。
</Note>

为确保用户只能在使用 SAML SSO 登录时访问组织，而不能使用其他方法，请选中 **允许邀请** 复选框。发生这种情况后，通过非 SSO 登录方法登录访问组织的用户需要重新使用 SAML SSO 登录。通过取消选中该复选框，可以将此设置切换回允许所有登录方法。

<Note>
您必须通过 SAML SSO 登录才能将此设置更新为“仅 SAML SSO”。这是为了确保 SAML 设置有效，并避免将用户锁定在您的组织之外。
</Note>

有关故障排除，请参阅 [SAML SSO 常见问题解答](/langsmith/faq#saml-sso-faqs)。如果您在设置 SAML SSO 时遇到问题，请通过 [support.langchain.com](https://support.langchain.com) 联系 LangChain 支持团队。

### 前提条件

<Note>
SAML SSO 适用于[企业版计划](https://www.langchain.com/pricing-langsmith)上的组织。请[联系销售](https://www.langchain.com/contact-sales)了解更多信息。
</Note>

- 您的组织必须处于企业版计划。
- 您的身份提供商（IdP）必须支持 SAML 2.0 标准。
- 只有 [`Organization Admins`](/langsmith/organization-workspace-operations#sso-and-authentication) 可以配置 SAML SSO。

有关将 SCIM 与 SAML 结合使用进行用户配置和取消配置的说明，请参阅 [SCIM 设置](#set-up-scim-for-your-organization)。

### 初始配置

<Note>
有关特定于 IdP 的配置步骤，请参阅以下之一：
- [Entra ID](#entra-id-azure)
- [Google](#google)
- [Okta](#okta)
</Note>

1.  在您的 IdP 中：使用以下详细信息配置 SAML 应用程序，然后复制步骤 3 所需的元数据 URL 或 XML。

   <Note>
   以下 URL 取决于您的组织是在 GCP US、GCP EU、GCP APAC 还是 AWS US 云区域。请确保选择正确的链接。
   </Note>

   1.  单点登录 URL（或 ACS URL）：
       <SaasRegionUrls prefix="auth" suffix="/auth/v1/sso/saml/acs" />
   2.  受众 URI（或 SP 实体 ID）：
       <SaasRegionUrls prefix="auth" suffix="/auth/v1/sso/saml/metadata" />
   3.  Name ID 格式：电子邮件地址。
   4.  应用程序用户名：电子邮件地址。
   5.  必需声明：`sub` 和 `email`。

2.  在 LangSmith 中：前往 **设置** -> **成员和角色** -> **SSO 配置**。填写所需信息并提交以激活 SSO 登录：
   1.  填写 `SAML 元数据 URL` 或 `SAML 元数据 XML`。
   2.  选择 `默认工作空间角色` 和 `默认工作空间`。通过 SSO 登录的新用户将被添加到指定的工作空间并分配选定的角色。
       - `默认工作空间角色` 和 `默认工作空间` 是可编辑的。更新后的设置仅适用于新用户，不适用于现有用户。
       - （即将推出）`SAML 元数据 URL` 和 `SAML 元数据 XML` 是可编辑的。这通常仅在加密密钥轮换/过期或元数据 URL 已更改但仍在使用相同的 IdP 时才需要。

### Supabase 属性映射

<Note>
Supabase 属性映射是[仅限云端](/langsmith/cloud)的功能。[自托管](/langsmith/self-hosted)部署直接在 IdP 上配置 SAML/OIDC 属性——参见[使用 OAuth2.0 和 OIDC 设置 SSO](/langsmith/self-host-sso)。
</Note>

LangSmith 云使用 [Supabase](/langsmith/cloud) 作为 SAML SSO 后端。Supabase 会自动将一小部分标准 SAML 属性（如 `email` 和 `sub`）传递到用户的 JWT。您的 IdP 发出的任何额外的非标准 SAML 属性（例如，用于 [SSO 组同步](#sso-groups-sync-alternative)的 `groups`）必须通过 Supabase 显式转发，LangSmith 才能读取它。

**属性流（1:1）：**

1.  **IdP**：发出具有配置名称的 SAML 属性（例如，`groups`）。
2.  **Supabase**：仅当属性名称出现在 SSO 提供商的 **Supabase 属性映射** 表中时，才会将属性转发到用户的 JWT。标准属性会自动转发；非标准属性除非被明确列出，否则将被丢弃。
3.  **LangSmith**：按名称读取 JWT 声明（例如，[SSO 组同步](#sso-groups-sync-alternative)的 **组声明字段** 的值）。

属性名称端到端保持一致：IdP 属性名称、Supabase 属性映射条目和下游 LangSmith 设置都使用相同的字符串。

#### 配置

在 **设置** → **成员和角色** → **SSO 配置** 中，滚动到 **Supabase 属性映射** 部分，并为您想要转发的每个非标准属性添加一行：

| 列 | 描述 |
| --- | --- |
| **属性名称** | 您的 IdP 发出的 SAML 属性名称。必须与 LangSmith 在下游期望的 JWT 声明名称匹配（对于 SSO 组同步，这与 **组声明字段** 值匹配）。 |
| **数组** | 如果属性是多值的（字符串列表），请选中此项。对于标量（单值）属性，请取消选中。例如：为 `groups` 选中；为 `full_name` 取消选中。 |

单击 **添加行** 添加每个附加属性，然后单击 **保存**。空的映射表表示没有非标准属性流向 JWT。

### Entra ID (Azure)

有关更多信息，请参阅 Microsoft 的[文档](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/add-application-portal-setup-sso)。

<div id="create-application-entra-id"></div>
**步骤 1：创建新的 Entra ID 应用程序集成**

1.  使用特权角色（例如，`全局管理员`）登录 [Azure 门户](https://portal.azure.com/#home)。在左侧导航窗格中，选择 `Entra ID` 服务。
2.  导航到 **企业应用程序**，然后选择 **所有应用程序**。
3.  单击 **创建你自己的应用程序**。
4.  在 **创建你自己的应用程序** 窗口中：
    1.  输入应用程序名称（例如，`LangSmith`）。
    2.  选择 **集成你在库中找不到的任何其他应用程序（非库）**。
5.  单击 **创建**。

**步骤 2：配置 Entra ID 应用程序并获取 SAML 元数据**

1.  打开您创建的企业应用程序。
2.  在左侧导航中，选择 **管理** > **单一登录**。
3.  在单一登录页面上，单击 **SAML**。
4.  更新 **基本 SAML 配置**：
    1.  `标识符（实体 ID）`：
        <SaasRegionUrls prefix="auth" suffix="/auth/v1/sso/saml/metadata" />
    2.  `回复 URL（断言使用者服务 URL）`：
        <SaasRegionUrls prefix="auth" suffix="/auth/v1/sso/saml/acs" />
    3.  将 `中继状态`、`注销 URL` 和 `登录 URL` 留空。
    4.  单击 **保存**。
5.  确保存在必需的声明，**命名空间**：`http://schemas.xmlsoap.org/ws/2005/05/identity/claims`：
    1.  `sub`：`user.objectid`。
    2.  `emailaddress`：`user.userprincipalname` 或 `user.mail`（如果使用后者，请确保所有用户的 `联系信息` 中都填写了 `电子邮件` 字段）。
    3.  （可选）对于 SCIM，请参阅[设置文档](/langsmith/user-management)了解有关 `唯一用户标识符（Name ID）` 的具体说明。
6.  在基于 SAML 的登录页面上，在 **SAML 证书** 下，复制 **应用程序联合元数据 URL**。

**步骤 3：设置 LangSmith SSO 配置**

按照[初始配置](#initial-configuration)中 **填写所需信息** 步骤下的说明操作，使用上一步的元数据 URL。

**步骤 4：验证 SSO 设置**

1.  在 Entra ID 中将应用程序分配给用户/组：
    1.  选择 **管理** > **用户和组**。
    2.  单击 **添加用户/组**。
    3.  在 **添加分配** 窗口中：
        1.  在 **用户** 下，单击 **无已选择**。
        2.  搜索要分配给企业应用程序的用户，然后单击 **选择**。
        3.  验证用户已选中，然后单击 **分配**。
2.  让用户通过 **SSO 配置** 页面中的唯一登录 URL 登录，或转到 **管理** > **单一登录** 并选择 **使用（应用程序名称）测试单一登录**。

### Google

有关更多信息，请参阅 Google 的[文档](https://support.google.com/a/answer/6087519)。

**步骤 1：创建并配置 Google Workspace SAML 应用程序**

1.  确保您使用具有适当权限的管理员帐户登录。
2.  在管理控制台中，转到 **菜单** -> **应用** -> **Web 和移动应用**。
3.  单击 **添加应用**，然后单击 **添加自定义 SAML 应用**。
4.  输入应用名称，可选择上传图标。单击 **继续**。
5.  在 Google 身份提供商详细信息页面上，下载 **IDP 元数据** 并保存以备步骤 2 使用。单击 **继续**。
6.  在 `服务提供商详细信息` 窗口中，输入：
    1.  `ACS URL`：
        <SaasRegionUrls prefix="auth" suffix="/auth/v1/sso/saml/acs" />
    2.  `实体 ID`：
        <SaasRegionUrls prefix="auth" suffix="/auth/v1/sso/saml/metadata" />
    3.  将 `开始 URL` 和 `已签名的响应` 框留空。
    4.  将 `Name ID` 格式设置为 `EMAIL`，并将 `Name ID` 保留为默认值（`基本信息 > 主要电子邮件`）。
    5.  单击 `继续`。
7.  使用 `添加映射` 确保存在必需的声明：
    1.  `基本信息 > 主要电子邮件` -> `email`

**步骤 2：设置 LangSmith SSO 配置**

按照[初始配置](#initial-configuration)中 **填写所需信息** 步骤下的说明操作，使用上一步的 `IDP 元数据` 作为元数据 XML。

**步骤 3：在 Google 中启用 SAML 应用**

1.  在 `菜单 -> 应用 -> Web 和移动应用` 下选择 SAML 应用。
2.  单击 `用户访问`。
3.  启用服务：
    1.  要为组织中的每个人启用服务，请单击 `为所有人启用`，然后单击 `保存`。
    2.  要为组织单位启用服务：
        1.  在左侧，选择组织单位，然后单击 `启用`。
        2.  如果服务状态设置为 `继承`，并且您希望即使父设置更改也保留更新后的设置，请单击 `覆盖`。
        3.  如果服务状态设置为 `已覆盖`，可以单击 `继承` 以恢复为与其父级相同的设置，或者单击 `保存` 以保留新设置，即使父设置更改。
    3.  要为跨组织单位或组织单位内的一组用户启用服务，请选择一个访问组。有关详细信息，请转到[使用组自定义服务访问权限](https://support.google.com/a/answer/9050643)。
4.  确保您的用户用于登录 LangSmith 的电子邮件地址与他们用于登录 Google 域的电子邮件地址匹配。

**步骤 4：验证 SSO 设置**

让有权访问的用户通过 **SSO 配置** 页面中的唯一登录 URL 登录，或转到 Google 中的 SAML 应用页面并单击 **测试 SAML 登录**。

### Okta

#### 支持的功能

- IdP 发起的 SSO（单点登录）
- SP 发起的 SSO
- 即时配置
- 强制仅 SSO

#### 配置步骤

有关更多信息，请参阅 Okta 的[文档](https://help.okta.com/en-us/content/topics/apps/apps_app_integration_wizard_saml.htm)。

**步骤 1：创建并配置 Okta SAML 应用程序**

<div id="via-okta-integration-network">
    <b>通过 Okta 集成网络（推荐）</b>
</div>

1.  登录 [Okta](https://login.okta.com/)。
1.  在右上角，选择管理。该按钮在管理区域中不可见。
1.  选择 `浏览应用集成目录`。
1.  找到并选择 LangSmith 应用程序。
1.  在应用程序概述页面上，选择添加集成。
1.  将 `ApiUrlBase` 留空。
1.  填写 `AuthHost`：
    <SaasRegionUrls prefix="auth" protocol={false} />
1.  （可选，如果计划同时使用 [SCIM](#set-up-scim-for-your-organization)）填写 `LangSmithUrl`：
    <SaasRegionUrls prefix="api.smith" protocol={false} />
1.  在应用程序可见性下，保持复选框未选中。
1.  选择下一步。
1.  选择 `SAML 2.0`。
1.  填写 `登录选项`：
    - `应用程序用户名格式`：`电子邮件`
    - `更新应用程序用户名于`：`创建和更新`
1.  从 **登录选项** 页面复制 **元数据 URL** 以供下一步使用。

**通过自定义应用集成**

<Warning>
SCIM 与此配置方法不兼容。请参考 [**通过 Okta 集成网络**](#via-okta-integration-network)。
</Warning>

1.  以管理员身份登录 Okta，然后转到 **Okta 管理控制台**。
2.  在 **应用程序** > **应用程序** 下，单击 **创建应用集成**。
3.  选择 **SAML 2.0**。
4.  输入 `应用名称`（例如，`LangSmith`）并可选择输入 **应用徽标**，然后单击 **下一步**。
5.  在 **配置 SAML** 页面上输入以下信息：
    1.  `单一登录 URL`（`ACS URL`）。保持 `将此用于收件人 URL 和目标 URL` 选中：
        <SaasRegionUrls prefix="auth" suffix="/auth/v1/sso/saml/acs" />
    2.  `受众 URI（SP 实体 ID）`：
        <SaasRegionUrls prefix="auth" suffix="/auth/v1/sso/saml/metadata" />
    3.  `Name ID 格式`：**持久性**。
    4.  `应用程序用户名`：`电子邮件`。
    5.  将其余字段留空或设置为默认值。
    6.  单击 **下一步**。
6.  单击 **完成**。
7.  从 **登录** 页面复制 **元数据 URL** 以供下一步使用。

**步骤 2：设置 LangSmith SSO 配置**

按照[初始配置](#initial-configuration)中 **填写所需信息** 步骤下的说明操作，使用上一步的元数据 URL。

**步骤 3：在 Okta 中将用户分配给 LangSmith**

1.  在 **应用程序** > **应用程序** 下，选择步骤 1 中创建的 SAML 应用程序。
2.  在 **分配** 选项卡下，单击 **分配**，然后选择 **分配给人员** 或 **分配给组**。
3.  进行所需的选择，然后单击 **分配** 和 **完成**。

**步骤 4：验证 SSO 设置**

让有权访问的用户通过 `SSO 配置` 页面中的唯一登录 URL 登录，或让用户从其 Okta 仪表板中选择该应用程序。

#### SP 发起的 SSO

配置服务提供商发起的 SSO 后，用户可以使用唯一的登录 URL 登录。您可以在 LangSmith UI 的 **组织成员和角色** 下的 **SSO 配置** 中找到此链接。

## 为您的组织设置 SCIM

<Note>
正在寻找比 SCIM 更轻量级的替代方案，不需要 IdP 管理员参与来推送组？请参阅下面的 [SSO 组同步](#sso-groups-sync-alternative)——它在登录时直接从 SSO 令牌读取组成员资格，并重用相同的命名约定。
</Note>

跨域身份管理系统（SCIM）是一个开放标准，允许自动化用户配置。使用 SCIM，您可以自动配置和取消配置 LangSmith[组织和工作空间](/langsmith/administration-overview)中的用户，使用户访问权限与组织的身份提供商保持同步。

<Note>
SCIM 适用于[企业版计划](https://www.langchain.com/pricing)上的组织。[联系销售](https://www.langchain.com/contact-sales)了解更多信息。
SCIM 在 Helm chart 版本 0.10.41（应用程序版本 0.10.108）及更高版本中可用。
SCIM 支持仅限 API（参见下面的说明）。
</Note>

SCIM 消除了手动用户管理的需要，并确保用户访问权限始终与组织的身份系统保持同步。这允许：

- **自动化用户管理**：用户根据其在身份提供商中的状态自动添加、更新和从 LangSmith 中移除。
- **减少管理开销**：无需在多个系统中手动管理用户访问。
- **提高安全性**：离开组织的用户会自动从 LangSmith 中取消配置。
- **一致的访问控制**：用户属性和组成员资格在系统之间同步。
- **扩展团队访问控制**：有效管理具有多个工作空间和自定义角色的大型团队。
- **角色分配**：为用户组选择特定的[组织角色](/langsmith/rbac#organization-roles)和[工作空间角色](/langsmith/rbac#workspace-roles)。

### 要求

#### 前提条件

- 您的组织必须处于企业版计划。
- 您的身份提供商（IdP）必须支持 SCIM 2.0。
- 只有[组织管理员](/langsmith/administration-overview#organization-roles)可以配置 SCIM。
- 对于云客户：必须为您的组织配置 [SAML SSO](#set-up-saml-sso-for-your-organization)。
- 对于自托管客户：必须启用[使用客户端密钥的 OAuth](/langsmith/self-host-sso#with-client-secret-recommended) 身份验证模式。
- 对于自托管客户，必须允许从身份提供商到 LangSmith 的网络流量：
  - Microsoft Entra ID 支持允许列出 IP 范围或基于代理的解决方案来提供连接。
    （[详情](https://learn.microsoft.com/en-us/entra/identity/app-provisioning/use-scim-to-provision-users-and-groups#ip-ranges)）。
  - Okta 支持允许列出 IP 或域名（[详情](https://help.okta.com/en-us/content/topics/security/ip-address-allow-listing.htm)）
    或基于代理的解决方案（[详情](https://help.okta.com/en-us/content/topics/provisioning/opp/opp-main.htm)）来提供连接。

<Note>
SCIM 连接通常需要 HTTP/1.1 或更高版本。如果您的客户端使用 HTTP/1.0，您可能会遇到 `426 需要升级` 错误。
</Note>

#### 角色优先级

当一个用户属于同一工作空间的多个组时，适用以下优先级：

1.  **组织管理员组** 优先级最高。这些组中的用户在所有工作空间中都是 `Admin`。
2.  **最近创建的工作空间特定组** 优先于其他工作空间组。

<Note>
当组被删除或用户从组中移除时，他们的访问权限将根据其剩余的组成员资格进行更新，并遵循优先级规则。
SCIM 组成员资格覆盖手动分配的角色或通过即时（JIT）配置分配的角色。我们建议禁用 JIT 配置以避免冲突。有关更多详细信息，请参阅[在 SSO 组织中管理用户访问](/langsmith/jit-invite-sso#scim-integration)。
</Note>

#### 电子邮件验证

仅限云端，使用 SCIM 创建新用户会向用户发送一封电子邮件。
他们必须通过单击此电子邮件中的链接来验证其电子邮件地址。
链接在 24 小时后过期，如果需要，可以通过 SCIM 移除并重新添加用户来重新发送。

### 属性和映射

#### 组命名约定

<Warning>
**不支持**通过 SCIM 重命名组。组名称是持久的，因为它们必须与 LangSmith 中的角色名称和/或工作空间名称匹配。
</Warning>

组成员资格通过特定的命名约定映射到 LangSmith 工作空间成员资格和工作空间角色。默认情况下，组件之间的分隔符是冒号（`:`），但您可以为您的组织[配置自定义分隔符](#configure-custom-separator)。

<Note>
您可以在组名称的 **组织角色名称** 部分中省略空格。这对于不允许在组名中使用空格的身份提供商很有用。例如，LangSmith 将 `OrganizationAdmins` 和 `OrganizationUser` 视为 `Organization Admins` 和 `Organization User` 的等效形式。此灵活性仅适用于组织角色名称标记。工作空间名称和工作空间角色名称将空格视为文字字符，因此省略空格的变体不会与它们的带空格对应项匹配。
</Note>

**组织管理员组**

格式：`<可选前缀>Organization Admin` 或 `<可选前缀>Organization Admins`

示例：

- `LS:Organization Admins`
- `LS:OrganizationAdmins`（省略空格——适用于不允许在组名中使用空格的 IdP）
- `Groups-Organization Admins`
- `Organization Admin`

**工作空间特定组**

格式：`<可选前缀><组织角色名称><分隔符><工作空间名称><分隔符><工作空间角色名称>`

分隔符默认为 `:`（冒号）。支持的分隔符有：`:`（冒号）、`-`（连字符）、`_`（下划线）、` `（空格）、`&`（和号）。

使用默认冒号分隔符的示例：

- `LS:Organization User:Production:Annotators`
- `LS:OrganizationUser:Production:Annotators`（在角色名称标记中省略空格）
- `Groups-Organization User:Engineering:Developers`
- `Organization User:Marketing:Viewers`

使用连字符分隔符的示例：

- `LS-Organization User-Production-Annotators`
- `LS-OrganizationUser-Production-Annotators`（在角色名称标记中省略空格）
- `Organization User-Engineering-Developers`

<Note>
如果您的工作空间名称包含分隔符（例如，工作空间 `my-team`，分隔符为 `-`），LangSmith 将自动尝试所有可能的拆分以找到有效的工作空间和角色组合。
</Note>

#### 配置自定义分隔符

要为您的组织更改 SCIM 组名分隔符，请使用 `PATCH /api/v1/orgs/current/info` [端点](/langsmith/smith-api/orgs/update-current-organization-info)。对于区域性 SaaS 部署，请将请求发送到区域主机上的相同路径（`eu.api.smith.langchain.com`、`apac.api.smith.langchain.com` 或 `aws.api.smith.langchain.com`）：

```bash
curl -X PATCH $LANGCHAIN_ENDPOINT/api/v1/orgs/current/info \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"scim_group_name_separator": "-"}'

curl -X PATCH $LANGCHAIN_ENDPOINT/orgs/current/info \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"jit_provisioning_enabled": false}'

commonEnv:
  - name: SELF_HOSTED_JIT_PROVISIONING_ENABLED
    value: "false"

curl -X POST $LANGCHAIN_ENDPOINT/v1/platform/orgs/current/scim/tokens \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"description": "Your description here"}'

curl -X PATCH $LANGCHAIN_ENDPOINT/api/v1/orgs/current/sso-settings/$SSO_PROVIDER_ID \
  -H "X-Api-Key: $LANGCHAIN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "sso_groups_enabled": true,
    "sso_groups_claim_field": "groups",
    "sso_groups_role_sync_enabled": true,
    "sso_groups_required": false
  }'

---

<div className="source-links">
<Callout icon="terminal-2">
    [Connect these docs](/use-these-docs) to Claude, VSCode, and more via MCP for real-time answers.
</Callout>
<Callout icon="edit">
    [Edit this page on GitHub](https://github.com/langchain-ai/docs/edit/main/src/langsmith/user-management.mdx) or [file an issue](https://github.com/langchain-ai/docs/issues/new/choose).
</Callout>
</div>