用途：为 Langfuse 配置企业级访问控制，覆盖内置角色与权限、按服务划分的 API 密钥作用域、SSO 集成、项目级隔离与审计日志，用于合规场景。
前提：Langfuse Cloud（Team/Enterprise 套餐）或自托管实例，需组织管理员权限；SSO 提供方为可选项（SAML/OIDC）。
内置角色（项目级）：Owner 可查看轨迹、创建轨迹、管理提示、管理成员与计费；Admin 除计费外均可；Member 可查看/创建轨迹与管理提示，不能管理成员与计费；Viewer 仅可查看轨迹。
主要做法：按 production、staging、analytics 等分离项目，密钥不跨环境共享；在设置中为每个项目创建独立公私钥对，按服务用途划分并定期轮换（创建新密钥、部署到密钥管理、重启服务、吊销旧密钥、验证轨迹）。自托管加固可设置 AUTH_DISABLE_SIGNUP=true、AUTH_DOMAINS_WITH_SSO_ENFORCEMENT=acme.com、LANGFUSE_DEFAULT_PROJECT_ROLE=VIEWER、ENCRYPTION_KEY、NEXTAUTH_SECRET。SSO 方面，在 IdP 创建 SAML 应用，配置回调 URL https://langfuse.your-domain.com/api/auth/callback/saml，实体 ID 为 https://langfuse.your-domain.com，并可通过 AUTH_CUSTOM_CLIENT_ID、AUTH_CUSTOM_CLIENT_SECRET、AUTH_CUSTOM_ISSUER 配置自托管 SSO，将 IdP 组映射到角色。审计日志可在应用层记录操作者、动作、资源与详情，并发送至 SIEM。
限制：具体定价、套餐差异、完整配置项与支持矩阵资料未完整提供；错误处理涉及权限不足、SSO 回调地址错误、密钥被拒或用户未加入项目等情况。输出访问控制记录时不应包含客户端密钥、API 密钥或 IdP 断言。