Konfigurer Snowflake MCP til Notion

Dine Custom Agents og Notion Agent kan oprette forbindelse til Snowflake via en MCP (Model Context Protocol)-server, som Snowflake kører. Når den er konfigureret, kan du spørge din agent om dine Snowflake-lagerdata og få svar direkte i Notion.

Opsætningen foregår i faser, og forskellige personer er ansvarlige for hver fase:

• En Snowflake-administrator konfigurerer rollen, lageret og den Snowflake-administrerede MCP-server.

• En Notion-arbejdsområdeejer eller -administrator konfigurerer Snowflake MCP-forbindelsen til arbejdsområdet.

• Arbejdsområdemedlemmer kan derefter oprette forbindelse til Snowflake MCP fra Custom Agents ved hjælp af deres egne Snowflake-legitimationsoplysninger, eller forbinde Snowflake direkte til deres Notion Agent. Trin 1–10 i denne artikel er de samme for begge stier. Stierne deles ved trin 11, afhængigt af hvilken agent du vil forbinde.

• De tilgængelige værktøjer kan variere afhængigt af din Snowflake-cloud-region.

• Snowflake-administrerede MCP-server er ikke tilgængelig i det kinesiske fastland eller i regeringsregioner.

• Dit Notion-arbejdsområde skal være på Business- eller Enterprise-abonnement.

• Brug Notion på web eller desktop. Denne funktion er ikke tilgængelig på mobil.

• Din virksomhed skal have en Snowflake-konto.

• For at bygge en Custom Agent skal du have tilladelse til at oprette agenter i dit arbejdsområde.

Før dit team kan forbinde Snowflake til Notion, skal en Snowflake-administrator konfigurere adgangen. Dette er det mest omfattende trin, og du behøver kun at gøre det én gang. Arbejd sammen med din Notion-arbejdsområdeadministrator: Notion leverer en omdirigerings-URI, og Snowflake leverer et OAuth-klient-id og en hemmelighed.

Du skal konfigurere en rolle og et lager, oprette den Snowflake-administrerede MCP-server, give den adgang til de ressourcer, den har brug for, konfigurere OAuth-omfanget og sikkerhedsintegrationen samt tilføje en netværkspolitik, hvis din organisation kræver det.

Udfyld dette regneark sammen med din Notion-arbejdsområdeadministrator, før du starter. Medlemmer kan springe det over og logge ind med deres egne Snowflake-konti, når konfigurationen er fuldført.

Kontoens værtsnavn bruger bindestreger, ikke understregninger. Sørg for, at hvert objektnavn i server-URL'en matcher det tilsvarende objektnavn i Snowflake.

Brug en dedikeret rolle med færrest mulige rettigheder og ét godkendt lager, når det er muligt.

Begrænset rolle uden sekundære roller (anbefales). Denne model er lettere at forstå og revidere. Indstil OAUTH_USE_SECONDARY_ROLES = NONE, angiv ALLOWED_ROLES_LIST, og brug Notion-scope session:role:<mcp_access_role>.

En brugers standard-sekundære roller (valgfrit). Brug kun denne model, når serveren har brug for rettigheder nedarvet fra hver brugers Snowflake DEFAULT_SECONDARY_ROLES. Indstil OAUTH_USE_SECONDARY_ROLES = IMPLICIT, udelad ALLOWED_ROLES_LIST, og brug et eksplicit primært rolescope. Snowflake tillader ikke IMPLICIT sekundære roller med ALLOWED_ROLES_LIST, så udelad tilladelseslisten, når du bruger denne model.

Brug en dedikeret rolle med færrest mulige rettigheder til MCP-serveren, når det er muligt.

Tildel denne rolle gennem din normale identitetsstyringsproces. Hvis Okta eller SCIM administrerer Snowflake-rolletilknytning, må du ikke tilføje brugere manuelt uden for denne proces.

Opret eller vælg en database og et skema, der ejes af det team, som skal køre serveren.

Til styrede forretningsspørgsmål kan du eksponere en Cortex Agent som det værktøj, medlemmerne bruger. Den samler semantiske visninger, verificerede forespørgsler, Søgning og orkestrering på ét sted. En Cortex Agent er valgfri. Hvis du opretter en, skal du bruge specifikationen nedenfor. Hvis du udskifter en eksisterende agent, skal du sikre dig, at erstatningen matcher din godkendte specifikation.

Andre understøttede Snowflake MCP-værktøjstyper inkluderer CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Giv hvert værktøj et klart navn og en beskrivelse. Forklar, hvilke data det dækker, hvor detaljerede resultaterne er, og hvornår det skal bruges. Dette hjælper agenten med at vælge det rigtige værktøj.

USAGE-privilegiet på en MCP-server lader en rolle oprette forbindelse til serveren og finde dens værktøjer. Det giver ikke rollen adgang til lageret, agent, semantisk visning, Søgning-tjeneste, lagret procedure eller underliggende data. Giv rollen adgang til hver ressource, som serverens værktøjer har brug for.

Giv kun adgang til de yderligere ressourcer, som hvert værktøj har brug for. Giv for eksempel SELECT på en godkendt semantisk visning, USAGE på en Cortex Søgning-tjeneste eller USAGE på en specifik funktion eller procedure. Tildel ikke rollen til PUBLIC og tilføj ikke brede privilegier for nuværende eller fremtidige objekter.

Før du opsætter OAuth, skal du kontrollere MCP-serveren og dens tildelinger:

Konfigurer MCP-skemaet til at annoncere den præcise rolle, medlemmer skal anmode om:

Brug et eksplicit rollescope. Brug ikke session:role:all. Snowflake behandler den værdi som brugerens standard primære rolle, ikke som adgang til enhver rolle, og politikker for privilegerede roller kan blokere den. En eksplicit rolle gør den anmodede adgang klar og lettere at kontrollere.

Før du kører denne SQL, skal du koordinere med administratoren for dit Notion-arbejdsområde. Bed dem om at indtaste Snowflake-serverens URL i arbejdsområdets MCP-opsætningsformular og aktivere Manually configure authentication og Use a workspace-shared OAuth client. Notion genererer en redirect-URL. Kopiér den og send den til Snowflake-administratoren. Når Snowflake har oprettet klient-id'et og hemmeligheden, kan arbejdsområdeadministratoren færdiggøre opsætningen af forbindelsen.

Brug redirect-URL'en præcis som Notion angiver den. Tilføj ikke en afsluttende skråstreg eller forespørgselsparametre, og ændr ikke værten.

Indstilling af IS_AGENTIC = TRUE markerer sessioner oprettet gennem denne integration som agentsessioner. Snowflakes IS_AGENT_ACTIVATED()-funktion returnerer derefter TRUE, hvilket lader Snowflake anvende agentspecifik revision og styring. Hvis du bruger den valgfrie model med sekundære roller, skal du indstille OAUTH_USE_SECONDARY_ROLES = IMPLICIT og udelade ALLOWED_ROLES_LIST.

Gyldighedsværdien for refresh-tokenet på 7776000 sekunder svarer til 90 dage. Før du bruger den, skal du bekræfte, at den stemmer overens med din organisations politikker for genautorisation og token-rotation. Ved rutinemæssige ændringer bør du undgå CREATE OR REPLACE SECURITY INTEGRATION. Udskiftning af integrationen kan afbryde eksisterende forbindelser.

For at kontrollere integrationen uden at vise dens hemmelighed, skal du køre:

Bekræft, at integrationen er slået til, at redirect-URL'en stemmer præcis overens, at rollen er tilladt og ikke blokeret, at refresh-token og PKCE er slået til, og at både autorisations- og token-endepunkterne bruger Snowflakes offentlige kontovært.

Dette trin er kun nødvendigt, hvis din organisation kræver en netværkspolitik. Bed din sikkerheds- eller netværksansvarlige om at godkende Notions nuværende egress-intervaller.

OAuth-integrationen skal tillade begge Notion-stier:

1. API-stien, der håndterer OAuth-callbacks og udveksler autorisationskoder

2. Runtime-stien for arbejdsområdet, der validerer forbindelsen, kører værktøjer og opdaterer tokens.

Disse stier kan bruge forskellige Notion-egress-adresser. Hvis du kun tillader den adresse, der blev brugt ved den indledende token-udveksling, kan pålogningen lykkes, men validering eller token-opdatering kan fejle. Brug Notions nuværende, godkendte egress-intervaller. Tilføj ikke en engangs-IP-adresse fra en browser eller log til en produktions-allowlist.

Vedhæft denne netværkspolitik til OAuth-integrationen, ikke til individuelle brugere. Du må ikke ændre dine kontoomfattende politikker for browser-login, VPN-adgang eller brugernetværksadgang. Hvis en netværkspolitik blokerer en token-anmodning, kan Snowflake returnere invalid_client. Denne fejl betyder ikke nødvendigvis, at klient-id'et eller hemmeligheden er forkert.

Kør dette i et sikkert Snowflake-regneark. Integrationsnavnet skelner mellem store og små bogstaver og er normalt med store bogstaver:

Del klient-id'et og den tilhørende hemmelighed med din Notion-arbejdsområdeadministrator ved hjælp af en godkendt sikker kanal. Snowflake leverer to gyldige hemmeligheder, så du kan rotere dem uden nedetid. Indsæt aldrig nogen af hemmelighederne i dokumentation, chat, billetter eller kildekontrol.

Når Snowflake er klar, tilføjer en arbejdsområdeejer eller administrator serveren én gang for arbejdsområdet. Medlemmer kan derefter finde den uden at se OAuth-klienthemmeligheden, uanset om de forbinder Snowflake MCP til en tilpasset agent eller til deres egen Notion-agent.

1. Gå til Indstillinger for arbejdsområdet.

2. Vælg Forbindelser → Delt arbejdsområde-MCP.

3. Vælg Ny arbejdsområde-MCP.

Udfyld disse felter, og vælg derefter Tilføj MCP-server:

Når du har gemt, skal du bekræfte, at den nye række vises under Delt med dette arbejdsområde, og at Arbejdsområde OAuth-klient viser Konfigureret.

Hvad denne opsætning gør:

• Hjælper medlemmer med at finde den godkendte server.

• Gemmer OAuth-klienthemmeligheden én gang i Notions krypterede forbindelseslagring.

• Sikrer, at medlemmer logger ind med den server-URL, klient og de områder, du har godkendt.

• Opretter ikke en delt Snowflake-session og omgår ikke Snowflakes adgangskontroller.

• Forbinder ikke automatisk hvert medlem. Hver person skal logge ind separat.

Hvis du fjerner denne opsætning, kan nye medlemmer ikke længere finde serveren. Eksisterende forbindelser kan stadig blive vist, så koordinér denne ændring med tilbagekaldelse af Snowflake-rettigheder og fjernelse af eksisterende forbindelser.

Når dine administratorer har Snowflake MCP-forbindelsen klar, er der to måder at bruge den på. Hvis du opsætter dette for et team, skal du starte med 11A. Hvis du bare vil stille dine egne spørgsmål, skal du springe til 11B. Du kan gøre begge dele; de er separate forbindelser.

En tilpasset agent giver dit team ét sted at stille spørgsmål om Snowflake-data. Du forbinder Snowflake én gang, tilføjer instruktioner om dine metrikker og tabeller og deler agenten med dit team. Alle, der bruger den, skal logge ind på Snowflake med deres egne legitimationsoplysninger, så hver person kun får svar baseret på de data, de har tilladelse til at se.

Forbind Snowflake til en tilpasset agent

1. Åbn din tilpassede agent, eller opret en ny.

2. Gå til Indstillinger → Værktøjer & Adgang.

3. Vælg Tilføj forbindelse, og vælg derefter den Snowflake-server, der er mærket Workspace Managed. Vælg ikke Custom MCP server, og indtast ikke server-URL'en manuelt.

4. Log ind på Snowflake i din browser. Din organisations sædvanlige Okta- eller SSO-login kan blive vist.

5. Gennemse og godkend den anmodede Snowflake-rolle.

6. Vælg, hvilke værktøjer agenten må bruge. Lad skrive-kompatible værktøjer og CORTEX_AGENT_RUN være indstillet til at bede om godkendelse, indtil du har testet dem.

7. Vælg Forbind, og bekræft, at forbindelsen vises som Forbundet.

Giv agenten kontekst

Forbindelsen giver agenten adgang til Snowflake. Dine instruktioner fortæller, hvordan din virksomhed bruger disse data. I agentens instruktioner skal du beskrive, hvilke værktøjer der skal bruges til hvilke typer spørgsmål, hvordan dit team definerer nøgletal, og hvilke tabeller eller semantiske visninger der skal tages udgangspunkt i. Et par verificerede eksempelspørgsmål gør en stor forskel. For et færdigt udgangspunkt, se vejledningen til Data Scout-værktøjssættet.

Del agenten

Del agenten med dit team på samme måde, som du deler enhver anden tilpasset agent. Første gang nogen stiller den et spørgsmål, der kræver Snowflake, bliver de bedt om at logge ind med deres egen Snowflake-konto. De bliver ikke bedt om et klient-id eller en hemmelig nøgle.

Hvis du vil stille dine egne spørgsmål i din egen chat, skal du forbinde Snowflake til din Notion-agent. Du logger ind med din egen Snowflake-konto, så din agent kun får adgang til det, du har tilladelse til at se.

1. Gå til Indstillinger → Notion AI.

2. Under MCP-servere skal du vælge Tilføj MCP-server.

3. Vælg den Snowflake-server, der er mærket Workspace Managed. Vælg ikke Custom MCP server, og indtast ikke server-URL'en manuelt.

4. Vælg Forbind.

5. Log ind på Snowflake i din browser. Din organisations sædvanlige Okta- eller SSO-login kan blive vist.

6. Gennemse og godkend den anmodede Snowflake-rolle.

7. Når din browser spørger, om den skal åbne Notion, skal du vælge Åbn Notion.

8. Bekræft, at serverstatus er Forbundet, ikke Kræver godkendelse.

Når du har oprettet forbindelse, vises Snowflake i Alle kilder → MCP-servere i chatten.

1. Stil et harmløst spørgsmål med et kendt svar, som burde bruge Snowflake.

2. Bekræft, at agenten bruger Snowflake og returnerer et resultat.

3. Bekræft, at du ikke kan få adgang til data uden for den rolle, du har fået tildelt.

Hvis du opsætter en tilpasset agent, så bed også et teammedlem med en mere begrænset Snowflake-rolle om at prøve den. De bør kun se deres egne data, ikke dine. Det er den hurtigste måde at bekræfte, at agenten bruger hver persons adgang i stedet for opretterens.

For et grundigere tjek, bed din Snowflake-administrator om at bekræfte din bruger, rolle, warehouse og forespørgselshistorik. Et vellykket login bekræfter din identitet, men det bekræfter ikke, at hver tildeling er korrekt.

Stil agenten et specifikt spørgsmål om dine Snowflake-data. For eksempel:

• "Fra Snowflake, hvad var vores samlede antal tilmeldinger i sidste måned?"

• "Fra Snowflake, hvad var vores 10 konti med højest omsætning i dette kvartal?"

Med en tilpasset agent kan du normalt springe 'fra Snowflake' over, når instruktionerne tydeliggør, hvornår den skal bruges. Med din Notion-agent hjælper det, at du nævner Snowflake, med at vælge den rigtige kilde.

Store anmodninger kan tage længere tid eller få timeout. Hvis det sker, så stil et mere specifikt spørgsmål eller opdel anmodningen i mindre spørgsmål.

Det meste af tiden forbliver du forbundet uden at gøre noget. Snowflake bruger kortlivede adgangstokens, og Notion opdaterer dem i baggrunden. Et udløbende adgangstoken i sig selv vil ikke afbryde din forbindelse.

Du skal logge ind igen, hvis:

• Dit opdateringstoken udløber, eller en administrator tilbagekalder det

• En administrator erstatter OAuth-integrationen eller klienthemmeligheden

• Din Snowflake-rolle fjernes

• En administrator fjerner arbejdsområdets opsætning eller din forbindelse

• En netværkspolitik blokerer for opdatering af tokenet

Med en tilpasset agent er hver persons login separat. Hvis én person bliver bedt om at logge ind igen, påvirker det ikke andre, og den person, der byggede agenten, behøver ikke at gøre noget.

Hvis du roterer klienthemmeligheden: Brug Snowflakes to-hemmeligheds-rotation i stedet for at erstatte integrationen. Hold begge hemmeligheder gyldige længe nok til at opdatere og teste arbejdsområdets opsætning, før du pensionerer den gamle.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflake MCP-forbindelsen er ikke på listen. Din arbejdsområdeadministrator har muligvis ikke tilføjet den endnu, eller dit arbejdsområde begrænser muligvis brugerdefinerede servere. Bed din administrator om hjælp.

• Du bliver bedt om et klient-id eller en klienthemmelighed. Du har sandsynligvis valgt Custom MCP-indstillingen. Gå tilbage og vælg Snowflake-serveren, der er mærket Workspace Managed, i stedet.

• Du bliver bedt om at logge ind igen. Din Snowflake-session er muligvis udløbet, eller en administrator har muligvis opdateret forbindelsen. Log ind på Snowflake igen.

• Du åbnede en tilpasset agent, og den bad dig om at logge ind på Snowflake. Det er forventet første gang. Hver person, der bruger en administreret tilpasset agent, skal logge ind med sine egne Snowflake-legitimationsoplysninger.

• Et teammedlem får andre resultater fra den samme tilpassede agent. Det er forventet. Agenten bruger hver persons Snowflake-adgang, så personer med forskellige roller ser forskellige data.

• Den tilpassede agent fungerer i chat, men ikke efter en tidsplan. Planlagte og udløste kørsel har ikke en person logget ind, så de kan endnu ikke bruge Snowflake med login pr. person.

• Du er logget ind, men den vil ikke oprette forbindelse, eller værktøjerne fejler. At logge ind bekræfter din identitet, men din adgang afhænger stadig af dine Snowflake-bevillinger. Bed din Snowflake-administrator om at bekræfte, at din rolle kan få adgang til serveren, warehouse, agenten og dataene.

• Agenten kan ikke finde en tabel. Agenten kan kun få adgang til de data, som din Snowflake-konto kan få adgang til. Tjek dine Snowflake-tilladelser, og inkluder tabelnavnet i dit spørgsmål.

• En anmodning får timeout. Stil et mere specifikt spørgsmål, eller opdel din anmodning i mindre spørgsmål.

Disse fejl stammer normalt fra Snowflake-indstillinger, ikke Notion. Del dem med din Snowflake-administrator.

• Server-URL'en ser ud til at være fordoblet, som https://https%3A... Adressen blev indsat med en ekstra https:// foran. Ret den, så URL'en kun starter med én https://.

• Du ser "This server does not support OAuth authentication." Sikkerhedsintegrationen er ikke sat op til OAuth, eller server-URL'en er forkert. Bed din Snowflake-administrator om at tjekke OAuth-sikkerhedsintegrationen og server-URL'en.

• Du ser invalid_client under login eller opdatering. Klient-id'et eller hemmeligheden er forkert, eller hemmeligheden blev ændret. Bed din administrator om det aktuelle klient-id og den aktuelle hemmelighed.

• Log ind fungerer, men fejler med det samme. Din rolle når muligvis ikke serveren, eller en rolle eller netværksregel blokerer sessionen. Bed din administrator om at tjekke dine rettigheder og politikker.

• Du ser "The role ALL requested has been explicitly blocked." Forbindelsen anmodede om alle roller på én gang (session:role:all), hvilket er blokeret. Brug én specifik rolle i stedet, som session:role:analyst, med dit rigtige rollenavn.

• Du ser en omdirigeringsfejl (fejl 390307). Omdirigerings-URL'en, der er gemt i Snowflake, matcher ikke den, Notion bruger. Bed din administrator om at indstille omdirigerings-URL'en på sikkerhedsintegrationen til den nøjagtige Notion-værdi.

• Du ser fejl 390311 om en ugyldig kodeudfordring. Dette er en PKCE-uoverensstemmelse. Bed din administrator om at bekræfte, at OAUTH_ENFORCE_PKCE er indstillet korrekt på sikkerhedsintegrationen.

• Du er forbundet, men ingen værktøjer vises. Din rolle mangler muligvis USAGE på MCP-serveren. Bed din administrator om at bekræfte rettigheden, og kør derefter DESCRIBE MCP SERVER for at tjekke opsætningen.

• Du kan få adgang til mere eller mindre data, end du forventede. Sekundære roller ændrer, hvad din session kan se. Tjek sammen med din administrator, hvilke roller der er aktive i din session.

• Det virkede før, og nu fejler det for alle efter en hemmelig ændring. Klienthemmeligheden blev roteret, så den gemte forbindelse er forældet. Bed din administrator om den nye hemmelighed, og opret derefter forbindelse igen.

• Det virkede før, og nu fejler det kun for dig. En rolle, rettighed eller politik kan være ændret, eller din session er udløbet. Log ind igen, og bed derefter din administrator om at bekræfte, at din adgang ikke er ændret.

• Din kontoidentifikator afvises. Brug formatet organization-account med en bindestreg, som myorg-myaccount, ikke punktummer.

• En PrivateLink-konto kan ikke oprette forbindelse. PrivateLink-konti kræver ekstra netværksopsætning. Spørg din administrator, om PrivateLink tillader Notion-forbindelsen.

• Snowflake er ikke tilgængelig i planlagte eller udløste kørsler. Disse kørsler har ingen logget ind-person, så de kan endnu ikke bruge log ind pr. person. Kør din anmodning i chatten i stedet.

• Du ser oauth_security_error efter at have logget ind via browseren. En netværkspolitik på kontoniveau blokerer muligvis anmodningen. Din administrator kan bekræfte dette ved at køre:

• Log ind ser ud til at fungere, men du får en rollefejl, selv med den rette scope. Din standardrolle kan være blokeret, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Din administrator kan tjekke og rette det:

Disse skrivebeskyttede kommandoer hjælper din administrator med at bekræfte opsætningen uden at ændre noget. Kør dem i Snowflake.

Brug disse Snowflake-vejledninger til at fuldføre opsætningen:

• Snowflake-administreret MCP-server

• Opret en Snowflake OAuth-sikkerhedsintegration

• Snowflake OAuth til brugerdefinerede klienter

• Oversigt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Tilpassede agenter

• MCP-forbindelser til Tilpassede agenter

• Forbind MCP-servere til din Notion-agent

• Sikkerhedsbestpraksis for forbindelser til agenter