配置自定义 TLS 证书

• 挂载内部证书颁发机构（CA）到系统范围，以启用数据库连接和 Playground 模型调用的 TLS
• 使用 Playground 特定的 TLS 设置，为支持的模型提供商提供客户端证书/密钥以进行 mTLS

​

挂载内部 CA 以启用 TLS

1. 创建一个包含数据库和外部服务 TLS 所需的所有 CA 的文件。如果您的部署直接与 beacon.langchain.com 通信而不使用代理，请确保包含一个公共受信任的 CA。所有证书应在此文件中连接，中间用空行分隔。
   -----BEGIN CERTIFICATE-----
   <PUBLIC_CA>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <INTERNAL_CA>
   -----END CERTIFICATE-----
   
   ...
   
2. 创建一个 Kubernetes 密钥，其中包含此文件内容的键。
   kubectl create secret generic <SECRET_NAME> --from-file=<SECRET_KEY>=<CA_BUNDLE_FILE_PATH> -n <NAMESPACE>
   
3. 如果为数据库和其他外部服务的 TLS 使用自定义 CA，请向 LangSmith helm chart 提供以下值：
   Helm

   config:
     customCa:
       secretName: <SECRET_NAME> # 第 2 步中创建的密钥的名称。
       secretKey: <SECRET_KEY> # 密钥中包含 CA 包的键。
   
   clickhouse:
     external:
       tls: true # 仅在需要 Clickhouse 的 TLS 时启用。
   postgres:
     external:
       customTls: true # 仅在需要 Postgres 的 TLS 时启用。
   
4. 确保使用支持 TLS 的连接字符串：
   • Postgres：在末尾添加 ?sslmode=verify-full&sslrootcert=system。
   • Redis：使用 rediss:// 作为前缀，而不是 redis://。

​

为模型提供商使用自定义 TLS 证书

• [可选] LANGSMITH_PLAYGROUND_TLS_KEY：PEM 格式的私钥。这必须是文件路径（用于挂载的卷）。通常仅在双向 TLS 身份验证时需要。
• [可选] LANGSMITH_PLAYGROUND_TLS_CERT：PEM 格式的证书。这必须是文件路径（用于挂载的卷）。通常仅在双向 TLS 身份验证时需要。
• [可选] LANGSMITH_PLAYGROUND_TLS_CA：自定义证书颁发机构（CA）证书，PEM 格式。这必须是文件路径（用于挂载的卷）。仅在使用的 helm 版本低于 0.11.9 时使用此选项挂载 CA；否则，请使用上面的挂载内部 CA 以启用 TLS部分。