主题
BYOC 常见问题
关于 LangSmith BYOC 的常见问题解答，涵盖数据驻留、访问、设置、数据平面模型和持续运营。
设置
我可以部署到哪些云和区域？
BYOC 已在美国控制平面的 AWS 上正式发布（GA）。计划于 2026 年下半年支持更多云服务商。有关受支持的 AWS 区域，请参阅区域和云服务商。
我需要专用的 AWS 账户吗？
不需要。LangChain 建议使用全新账户，以获得更清晰的计费，并且因为某些权限无法限定到特定资源，但这不是必需的。
我可以将 BYOC 安装到现有 VPC 中吗？
可以。通过自带 VPC（BYOVPC），你提供 VPC 和子网。你可以使用参考 Terraform 模块创建 VPC，或使用满足网络要求的现有 VPC。
若要从客户角色中移除 VPC 创建权限，请在 langsmith-byoc-role Terraform 模块 中设置 allow_vpc_creation_permissions = false，并将你的 VPC ID 包含在 vpc_ids 中。
我可以在同一个 VPC 中部署多个数据平面吗？
不可以。目前不支持在同一个 VPC 中部署多个数据平面。请为每个数据平面使用单独的 VPC。
我可以将现有数据平面迁移到我自己的 VPC 吗？
不可以。不支持将现有数据平面迁移到其他 VPC，也不支持在创建后更改其 VPC 和子网配置。
我可以将 BYOC 安装到现有 EKS 集群中吗？
不可以，也没有支持该功能的计划。LangChain 代表你运营该集群，包括升级和打补丁，而专用集群正是使其能够被可靠管理的前提。
我可以在 LangSmith VPC 或集群中运行自己的工作负载吗？
可以，只要它们不干扰 LangSmith 的正常运行。
在 AWS 账户中，请记住授予跨账户角色的某些权限无法按标签限定，这就是 LangChain 推荐使用专用账户的原因。
在 Kubernetes 集群中，不干扰 LangSmith 的被动工作负载是可以的，例如可观测性和安全监控代理。部署它们时：
- 使用你自己的节点组和容忍度，而不是 LangSmith 运行的节点组和容忍度。
- 部署到 LangSmith 所用命名空间之外的命名空间。
- 不要编辑 LangChain 预置的资源。
LangChain 不对由干扰性工作负载导致的停机或问题负责。
我的角色应将外部 ID 设置为什么值？
LangChain 提供外部 ID。导航到 Settings > Data Planes，使用 Data Planes 标题旁的复制按钮进行复制。在应用 langsmith-byoc-role Terraform 模块时使用此值。该角色的信任策略必须在其 ExternalId 条件中使用此值。
预置需要多长时间？
数据平面的端到端预置大约需要 60 到 90 分钟。预置时间可能有所不同，因为 AWS 资源预置并不稳定。
如果预置失败会发生什么？
数据平面会转换为 Provisioning Failed。失败通常由跨账户角色缺少权限，或由阻止 LangChain 需要执行某项操作的服务控制策略（SCP）导致。
请严格按照发布的样子应用 langsmith-byoc-role Terraform 模块，不作任何编辑或更改。修改过的模块是权限缺失的常见原因。
请联系 LangChain 团队。一旦权限得到修正，预置会自动协调。
我应该使用哪个 VPC CIDR 范围？
介于 /18 和 /16 之间的私有 RFC 1918 范围。如果你计划使用 VPC 对等连接，请选择一个不与你打算对等的 VPC 重叠的范围。CIDR 范围在预置后无法更改。
我如何通过私有终端节点访问数据平面？
数据平面默认预置有私有终端节点，因此你需要私有连接，例如 Tailscale、AWS PrivateLink 或 VPC 对等连接。
我可以使用自己的 DNS 域名吗？
不可以。数据平面预置在标准的 LangChain BYOC 域名下。在 Settings > Data Planes 下查找你的数据平面 API URL。
我如何停用数据平面？
使用 allow_delete_permissions = true 重新应用 langsmith-byoc-role Terraform 模块，这会授予删除 LangSmith 管理资源所需的权限。
然后在 LangSmith UI 中选择 Delete Data Plane。LangChain 会取消预置你账户中的基础设施。
数据与安全
敏感数据会离开我的 VPC 吗？
不会。当用户打开 aws.smith.langchain.com 时，浏览器会从 LangChain 的云中获取 LangSmith UI 包。加载完成后，应用会将每个敏感数据请求路由到你的 VPC。
请参阅数据流量。
LangChain 团队可以在我的账户中做什么？
LangChain 可以管理 LangSmith 所创建资源的基础设施，仅此而已。权限由 managed_by=langsmith 标签限定，因此该角色无法对你账户中不相关的资源进行操作。
该角色不持有授予数据访问权限的任何权限。请参阅如何强制执行最小权限。
LangChain 可以读取我的追踪或数据库内容吗？
不可以。跨账户角色是基础设施范围的，而不是数据范围的。它可以管理保存你数据的资源，但不持有对追踪存储桶的 s3:GetObject、对 PostgreSQL 的 rds-db:connect，以及对 Redis 的 elasticache:Connect。
对数据本身的访问需要你明确授予，例如在事件处理期间。请参阅如何强制执行最小权限。
LangChain 员工对我的环境和数据有什么访问权限？
没有常设的数据访问权限。如果事件处理需要访问你的数据，LangChain 要么请你自行运行查询，要么请求紧急访问（break-glass）权限。
LangSmith 支持客户管理的加密密钥吗？
目前不支持。数据使用云服务商管理的密钥进行静态加密。计划支持客户管理的加密密钥（CMK）。
我如何撤销 LangChain 的访问权限？
你在自己的账户中创建并拥有跨账户角色，因此可以在不涉及 LangChain 的情况下撤销访问权限。移除该角色，或移除其与 LangChain 账户的信任关系，会阻止控制平面扮演它，并停止数据平面资源的协调。
我可以撤销预置期间授予的个别权限吗？
可以，但该角色需要其权限来持续协调数据平面，并管理、升级和扩缩它。移除这些权限可能会破坏这些操作。
如果你需要移除特定权限，请先联系 LangChain 团队，以便对该变更进行审核。LangChain 不对未经该审核而移除权限所导致的停机或问题负责。
LangChain 在控制平面中保存什么？
身份认证、组织和工作区配置、计费和用量元数据、哈希后的 API 密钥，以及静态前端资源。
追踪、提示词、数据集、评估器、实验、洞察运行、标注队列、智能体部署和工作区密钥都位于你的数据平面中。
哪些数据会离开我的账户？
只有运营数据，而且它通过 PrivateLink 而非公共互联网传输：
- 身份认证请求：数据平面调用控制平面来认证请求、验证 API 密钥，以及解析角色和权限。
- 配置：从控制平面加载的组织和工作区配置。
- 计费和用量元数据。
- 运营遥测。
追踪等敏感数据不会离开你的账户。它仅从数据平面传输到请求它的最终用户。请参阅数据流量。
流量会经过公共互联网吗？
不会。
- 控制平面到数据平面：所有通信在两个方向上均通过 AWS PrivateLink 传输。
- S3：流量通过 VPC 终端节点传输，并使用 HTTPS 加密。
- 容器镜像：通过 VPC 终端节点从 LangChain 账户拉取。
请参阅连接。
我可以限制数据平面的出站网络流量吗？
可以。
对于 LangChain 管理的 VPC，BYOC 支持控制数据平面出站的网络防火墙。请联系 LangChain 团队以启用它。
启用后，防火墙默认拒绝所有出站流量。然后你配置数据平面被允许访问的目标允许列表：
- 域：完全限定域名，例如模型服务商 API 终端节点或公共 Docker 仓库。
- CIDR 范围：IP 范围，例如内部服务或私有子网。
使用 BYOVPC 时，你管理自己的防火墙和出站控制。你的网络必须持续满足 BYOVPC 网络要求。
我可以使用自己的私有注册表吗？
目前不可以。容器镜像通过 VPC 终端节点从 LangChain AWS 账户拉取。对私有注册表的支持已在路线图中。
控制平面如何访问我的 Kubernetes API 服务器？
通过 AWS PrivateLink。管理路径仅暴露你集群的 Kubernetes API 服务器，LangChain 使用它来安装和协调 LangSmith 组件。
EKS 集群是私有的：API 服务器终端节点没有公共访问权限，工作节点没有公共 IP 地址。你的数据无法通过该连接访问，LangChain 也不会通过公共互联网访问你的环境。请参阅连接。
如果我的数据平面在美国境外，控制平面在哪里运行？
无论你将数据平面放在何处，控制平面都在 us-east-2 运行。如果你在美国境外预置数据平面，你的敏感应用数据会留在该区域，而控制平面元数据仍留在美国。请参阅区域和云服务商。
数据平面和工作区
组织、数据平面和工作区之间是什么关系？
数据平面属于一个组织，而工作区恰好属于一个数据平面。使用数据平面进行数据的物理隔离，使用工作区在一个数据平面内进行逻辑隔离。请参阅组织、数据平面和工作区。
我可以运行多个数据平面吗？
可以。一个组织可以有多个数据平面，每个数据平面位于各自的 AWS 账户和区域中。
默认限制为每个组织五个数据平面。要部署更多，请联系 LangChain 团队。
一个组织可以同时拥有 Cloud 和 BYOC 工作区吗？
可以。LangSmith Cloud 上的工作区路由到 LangChain 管理的后端，而不是路由到数据平面，因此两者可以在同一个组织中共存。这也意味着你可以从 AWS Cloud 试用版迁移到 BYOC，同时复用相同的组织、用户、角色和 SSO 配置。
运营
在 BYOC 部署中，谁负责什么？
LangChain 运行控制平面，并通过委派的、最小权限的访问来管理数据平面基础设施。你拥有 AWS 账户、网络连接、数据平面中的数据，以及你账户内的安全监控。
有关跨平台和基础设施、数据和安全，以及运营和支持的完整职责划分，请参阅 BYOC 责任共担模型。
谁升级 LangSmith，多久一次？
LangChain 每周升级一次你数据平面中的 LangSmith 版本。升级是滚动进行的，因此没有整个服务的停机。Istio 和 KEDA 等支撑服务按固定节奏升级，所有 EKS 集群升级由 LangChain 管理。
对发布通道的支持即将推出。请参阅运营。
Kubernetes 升级呢？
LangChain 主动负责并执行 EKS 升级，早于 AWS 支持终止日期，并与你协调时间窗口。
控制平面升级是透明的。节点组升级以先建后断（make-before-break）语义逐个滚动节点，因此在 Pod 重启时你可能会看到短暂的连接重置，但不会丢失数据。请参阅 Kubernetes 集群升级。
升级会导致停机吗？
不会。服务运行多个由水平 Pod 自动扩缩器设定规模的副本，而 Pod 中断预算限制了同时可以不可用的副本数量，因此无论是滚动更新还是节点排空，都不会使服务低于其所需的容量。
可能导致停机的维护，例如重启 RDS 或 ElastiCache，会在 LangChain 提前与你协调的预定维护窗口中进行。
谁监控数据平面？
LangChain 在预置后运营数据平面，包括监控正常运行时间和错误恢复、扩缩、升级以及安全补丁。由于部署在你自己的账户中运行，你已经在使用的云控制也同样适用于它。
我可以为 LangSmith BYOC 设置自己的可观测性吗？
可以。你可以将收集器和代理等可观测性工具安装到 EKS 集群中，只要它不干扰 LangSmith 的运行。
LangSmith 服务发出日志、指标和追踪的方式与在自托管上相同，因此适用相同的配置。请参阅将 LangSmith 遥测导出到你的可观测性后端。
如何处理备份？
备份在你自己的账户中运行：
- RDS：每天进行备份。
- ClickHouse：每天进行备份并存储在 S3 存储桶中。
- ElastiCache：不进行备份，因为数据是临时的。
LangChain 是否为 BYOC 数据平面提供正常运行时间 SLA？
不提供。数据平面在你的 AWS 账户中运行，因此其可用性取决于你控制的资源，包括账户本身、你为访问数据平面而配置的私有连接，以及适用于该账户的服务配额和策略。LangChain 不对并非由其单独控制的基础设施承诺正常运行时间目标。
LangChain 仍会监控数据平面的正常运行时间和错误恢复、对其进行扩缩，并应用升级和安全补丁。请参阅运营。
成本
使用 BYOC 我需要为什么付费？
两份独立的账单：
- 基础设施：数据平面在你自己的 AWS 账户中运行，因此你拥有该基础设施，并通过云服务商账单为其付费。
- LangSmith：由 LangChain 根据你的合同和用量开具发票。
LangChain 提供与 AWS Marketplace 的集成。
功能和迁移
哪些 LangSmith 功能可在 BYOC 上使用？
有关当前受支持功能的列表，请参阅可用功能。
我可以将现有的 LangSmith 实例迁移到 BYOC 吗？
部分可以。用户、角色、数据集、实验、提示词、标注队列配置、自动化规则、仪表盘和 Fleet 资源可以复制过来。目前不迁移追踪。请参阅迁移到 BYOC。