LangChain étend la bêta de LangSmith BYOC à Azure et Google Cloud

LangChain a annoncé le 3 novembre 2026 que LangSmith Bring Your Own Cloud (BYOC) est désormais disponible en version bêta sur Microsoft Azure et Google Cloud, étendant cette option de déploiement géré au-delà d’AWS, où elle est généralement disponible.

BYOC conserve les données sensibles de LangSmith et les déploiements d’agents dans le compte cloud du client. LangChain, l’entreprise à l’origine de la plateforme, LangChain, gère le plan de données, notamment l’orchestration, la mise à l’échelle et les mises à jour de la plateforme. Cette solution s’adresse aux organisations qui souhaitent bénéficier de la résidence des données et de l’isolation réseau de LangSmith auto-hébergé sans avoir à exploiter elles-mêmes l’ensemble de la plateforme.

AWS a été le premier fournisseur à proposer cette solution. Dans son annonce du 12 août 2026, LangChain a présenté BYOC aux entreprises souhaitant un déploiement géré dans leur propre compte AWS et leur propre VPC, en particulier aux équipes soumises à des exigences strictes en matière de gouvernance des données.

Comment BYOC répartit LangSmith

BYOC divise la plateforme en un plan de contrôle exploité par LangChain et un plan de données appartenant au client. Le plan de contrôle comprend l’authentification, la configuration des organisations et des espaces de travail, les métadonnées de facturation, les clés API hachées et les ressources statiques de l’interface. Le plan de données comprend les traces, les invites, les jeux de données, les expériences, les déploiements d’agents et les secrets des espaces de travail.

Une organisation peut gérer plusieurs plans de données dans différents comptes et régions, chacun contenant des espaces de travail. Cette structure permet de séparer les ressources par région, environnement ou unité opérationnelle. Une équipe chargée de la plateforme pourrait exploiter les environnements de production et de préproduction dans des comptes AWS distincts, tandis qu’une unité opérationnelle ayant standardisé ses activités sur Azure gérerait son propre déploiement.

Ce modèle modifie également la charge liée aux mises à niveau de LangSmith auto-hébergé. Auparavant, les équipes soumises à des exigences strictes en matière de conformité devaient faire appel à des ingénieurs plateforme pour appliquer des correctifs aux services avec état, configurer les bases de données, effectuer les migrations de schéma et coordonner des déploiements Helm personnalisés. Avec BYOC, les données restent dans le réseau virtuel du client, tandis que LangChain gère la mise à l’échelle, les mises à jour de schéma et les dépendances d’exécution.

Selon LangChain, les clients AWS ont cité comme principaux avantages les mises à niveau continues, l’accès plus rapide aux nouvelles fonctionnalités de LangSmith par rapport au cycle de publication de la version auto-hébergée et la mise à l’échelle automatique.

Architecture cloud et responsabilités en matière de sécurité

Les trois fournisseurs cloud prennent en charge les points de terminaison Managed Deep Agents dans les plans de données BYOC, mais chaque mise en œuvre s’appuie sur les composants réseau et de sécurité propres au fournisseur concerné.

Sur Azure, le plan de données s’exécute dans un réseau virtuel dédié doté d’un point de terminaison privé pour l’API AKS. Istio et KEDA sont déployés au moyen de Helm pour le routage du trafic entrant et la mise à l’échelle déclenchée par les événements, et la télémétrie du système est envoyée à Azure Monitor. LangChain indique que la prise en charge de LangSmith Sandboxes sur Azure sera bientôt disponible. Au lancement, les plans de données Google Cloud peuvent être exécutés dans n’importe quelle région, bien qu’ils soient gérés depuis le plan de contrôle américain de LangSmith ; les noms de ressources limités à l’espace de noms visent à éviter les conflits avec l’infrastructure existante.

AWS prend en charge un VPC existant, la base de données étant placée dans les sous-réseaux choisis par le client. Les équipes de sécurité peuvent associer leurs propres groupes de sécurité aux rôles applicatifs, ce qui permet d’intégrer le plan de données aux politiques existantes d’inspection du trafic entrant et sortant.

Sur AWS, deux connexions PrivateLink assurent les communications entre les plans, et LangChain n’accède pas à l’environnement du client par l’Internet public. Les requêtes portant sur des données sensibles sont acheminées directement du navigateur ou du client vers le plan de données du client. Le rôle IAM intercompte peut provisionner et gérer l’infrastructure, mais il ne dispose d’aucun s3:GetObject droit sur le compartiment de traces, d’aucun rds-db:connect droit d’accès à PostgreSQL ni d’aucun elasticache:Connect droit d’accès à Redis.

Sur AWS, le modèle de responsabilité partagée laisse au client la gouvernance de son compte cloud, la connectivité interne, les politiques d’accès, la surveillance de sécurité côté client et les contrôles de conformité. LangChain exploite et met à jour les composants gérés. Le dépannage des incidents peut nécessiter un accès d’urgence approuvé par le client ; après cet accès, un compte rendu doit préciser les horodatages, les actions effectuées et les données consultées, le cas échéant.

Migration et accès

Pour les organisations qui passent de LangSmith auto-hébergé, l’outil de migration open source copie les utilisateurs et les rôles, les jeux de données, les expériences, les invites, la configuration des files d’annotation, les règles d’automatisation, les tableaux de bord et les ressources Fleet. Il copie les données au lieu de les déplacer, laissant l’instance source inchangée et opérationnelle. La documentation sur la migration signale également des opérations manuelles : les agents déployés doivent l’être à nouveau, les rapports Insights ne sont pas transférés d’une instance à l’autre et les migrations Fleet nécessitent de saisir à nouveau les valeurs secrètes et de reconnecter les connexions OAuth propres à chaque utilisateur.

Les traces, les exécutions et les retours suivent un processus distinct, pris en charge par LangChain au moyen d’outils internes. La migration des traces est prise en charge sur AWS, tandis que l’outil open source ne migre pas les traces.

Les modules Terraform sous-jacents à BYOC et l’outil de migration sont publics. LangChain a indiqué que la passerelle LLM du plan de données prend en charge, dès l’installation, les modèles de 11 fournisseurs, ainsi que tout point de terminaison compatible avec OpenAI ou Anthropic. Pour provisionner un plan de données BYOC sur AWS, Azure ou Google Cloud, il faut contacter l’équipe commerciale de LangChain.

Pour les entreprises, cela se traduit concrètement par un plus grand choix d’emplacement de la frontière des données, sans transfert de la gouvernance du cloud : LangChain peut exploiter LangSmith dans davantage d’environnements, tandis que les équipes clientes gardent la maîtrise des contrôles des comptes, de la surveillance, de la conformité et de plusieurs tâches de migration.