Configura el MCP de Snowflake para Notion

Tus Agentes personalizados y agente de Notion pueden conectarse a Snowflake a través de un servidor MCP (Model Context Protocol) que ejecuta Snowflake. Una vez configurado, puedes preguntarle a tu agente sobre los datos de tu almacén de Snowflake y obtener respuestas directamente en Notion.

La configuración se realiza por etapas y diferentes personas están a cargo de cada una:

• Un admin de Snowflake configura el rol, el almacén y el servidor MCP administrado por Snowflake.

• Un Propietario del espacio de trabajo o admin de Notion configura la conexión MCP de Snowflake para el espacio de trabajo.

• Los miembros del espacio de trabajo pueden conectarse al MCP de Snowflake desde Agentes personalizados usando sus propias credenciales de Snowflake, o conectar Snowflake directamente a su agente de Notion. Los pasos 1–10 de este artículo son iguales para ambas rutas. Las rutas se dividen en el paso 11, dependiendo de qué agente quieras conectar.

• Las herramientas disponibles pueden variar según tu región de nube de Snowflake.

• El servidor MCP administrado de Snowflake no está disponible en China continental ni en regiones gubernamentales.

• Tu espacio de trabajo de Notion debe pertenecer a un plan Business o plan Enterprise.

• Usa Notion en la web o en el escritorio. Esta función no está disponible en dispositivos móviles.

• Tu empresa necesita una cuenta de Snowflake.

• Para crear un Agente personalizado, necesitas permiso para crear agentes en tu espacio de trabajo.

Antes de que tu equipo pueda conectar Snowflake a Notion, un admin de Snowflake debe configurar el acceso. Este es el paso más complejo y solo necesitas hacerlo una vez. Trabaja con el admin de tu espacio de trabajo de Notion: Notion proporciona un URI de redireccionamiento, y Snowflake proporciona un ID de cliente y un secreto de OAuth.

Configurarás un rol y un almacén, crearás el servidor MCP administrado por Snowflake, le otorgarás acceso a los recursos que necesita, configurarás el ámbito de OAuth y la integración de seguridad, y agregarás una política de red si tu organización lo requiere.

Completa esta hoja de trabajo con el admin de tu espacio de trabajo de Notion antes de comenzar. Los miembros pueden omitirla e iniciar sesión con sus propias cuentas de Snowflake una vez que se complete la configuración.

El nombre de host de la cuenta utiliza guiones, no guiones bajos. Asegúrate de que cada nombre de objeto en la URL del servidor coincida con el nombre de objeto correspondiente en Snowflake.

Utiliza un rol dedicado con los privilegios mínimos necesarios y un almacén aprobado siempre que sea posible.

Rol restringido sin roles secundarios (recomendado). Este modelo es más fácil de entender y auditar. Establece OAUTH_USE_SECONDARY_ROLES = NONE, especifica ALLOWED_ROLES_LIST y utiliza el ámbito de Notion session:role:<mcp_access_role>.

Roles secundarios predeterminados de un usuario (opcional). Utiliza este modelo solo cuando el servidor necesite privilegios heredados de los DEFAULT_SECONDARY_ROLES de Snowflake de cada usuario. Establece OAUTH_USE_SECONDARY_ROLES = IMPLICIT, omite ALLOWED_ROLES_LIST y utiliza un ámbito de rol principal explícito. Snowflake no permite roles secundarios IMPLICIT con ALLOWED_ROLES_LIST, así que omite la lista de permitidos cuando utilices este modelo.

Utiliza un rol dedicado con los privilegios mínimos necesarios para el servidor MCP siempre que sea posible.

Otorga este rol a través de tu proceso normal de gestión de identidades. Si Okta o SCIM gestionan la pertenencia a roles de Snowflake, no añadas usuarios manualmente fuera de ese proceso.

Crea o elige una base de datos y un esquema propiedad del equipo que ejecutará el servidor.

Para preguntas de negocio gobernadas, puedes exponer un Agente Cortex como la herramienta que utilizan los miembros. Mantiene las vistas semánticas, las consultas verificadas, la búsqueda y la orquestación en un solo lugar. Un Agente Cortex es opcional. Si lo creas, usa la especificación a continuación. Si reemplazas un agente existente, asegúrate de que el reemplazo coincida con tu especificación aprobada.

Otros tipos de herramientas MCP de Snowflake compatibles incluyen CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC y SYSTEM_EXECUTE_SQL.

Da a cada herramienta un nombre y una descripción claros. Explica qué datos cubre, cuán detallados son sus resultados y cuándo usarla. Esto ayuda al agente a elegir la herramienta correcta.

El privilegio USAGE en un servidor MCP permite que un rol se conecte al servidor y descubra sus herramientas. No le da al rol acceso al almacén, al agente, a la vista semántica, al servicio de búsqueda, al procedimiento almacenado o a los datos subyacentes. Otorga al rol acceso a cada recurso que requieran las herramientas del servidor.

Otorga acceso solo a los recursos adicionales que necesite cada herramienta. Por ejemplo, otorga SELECT en una vista semántica aprobada, USAGE en un servicio de búsqueda de Cortex, o USAGE en una función o procedimiento específico. No otorgues el rol a PUBLIC ni añadas privilegios amplios para objetos actuales o futuros.

Antes de configurar OAuth, verifica el servidor MCP y sus permisos:

Configura el esquema MCP para anunciar el rol exacto que los miembros deben solicitar:

Utiliza un ámbito de rol explícito. No uses session:role:all. Snowflake trata ese valor como el rol principal predeterminado del usuario, no como acceso a todos los roles, y las políticas para roles privilegiados pueden bloquearlo. Un rol explícito hace que el acceso solicitado sea claro y más fácil de verificar.

Antes de ejecutar este SQL, coordina con el admin de tu espacio de trabajo de Notion. Pídele que ingrese la URL del servidor de Snowflake en el formulario de configuración de MCP del espacio de trabajo y active Configurar autenticación manualmente y Usar un cliente OAuth compartido del espacio de trabajo. Notion genera una URL de redireccionamiento. Cópiala y envíasela al admin de Snowflake. Después de que Snowflake cree el ID de cliente y el secreto, el admin del espacio de trabajo puede terminar de configurar la conexión.

Utiliza la URL de redireccionamiento exactamente como la proporciona Notion. No añadas una barra diagonal al final ni parámetros de consulta, y no cambies el anfitrión.

Establece IS_AGENTIC = TRUE para marcar las sesiones creadas a través de esta integración como sesiones de agente. La función IS_AGENT_ACTIVATED() de Snowflake devuelve entonces TRUE, lo que permite a Snowflake aplicar auditoría y gobernanza específicas para agentes. Si usas el modelo opcional de rol secundario, establece OAUTH_USE_SECONDARY_ROLES = IMPLICIT y omite ALLOWED_ROLES_LIST.

El valor de validez del token de actualización 7776000 segundos equivale a 90 días. Antes de usarlo, confirma que coincide con las políticas de reautorización y rotación de tokens de tu organización. Para cambios rutinarios, evita CREATE OR REPLACE SECURITY INTEGRATION. Reemplazar la integración puede interrumpir las conexiones existentes.

Para verificar la integración sin mostrar su secreto, ejecuta:

Confirma que la integración esté activada, que la URL de redireccionamiento coincida exactamente, que el rol esté permitido y no esté bloqueado, que los tokens de actualización y PKCE estén activados, y que tanto el punto final de autorización como el de token utilicen el anfitrión de cuenta pública de Snowflake.

Este paso solo es necesario si tu organización requiere una política de red. Pide a tu propietario de seguridad o de red que apruebe los rangos de salida actuales de Notion.

La integración OAuth debe permitir ambas rutas de Notion:

1. la ruta de la API que maneja las devoluciones de llamada de OAuth e intercambia códigos de autorización

2. la ruta de tiempo de ejecución del espacio de trabajo que valida la conexión, ejecuta herramientas y actualiza los tokens

Estas rutas pueden utilizar diferentes direcciones de salida de Notion. Si solo permite la dirección utilizada durante el intercambio inicial de tokens, el inicio de sesión puede tener éxito, pero la validación o la actualización del token pueden fallar. Utilice los rangos de salida actuales y aprobados de Notion. No añada una dirección IP de un solo uso desde un navegador o registro a una lista de permitidos de producción.

Adjunte esta política de red a la integración de OAuth, no a usuarios individuales. No cambie sus políticas de toda la cuenta para el inicio de sesión en el navegador, el acceso VPN o el acceso de red de usuario. Si una política de red bloquea una solicitud de token, Snowflake puede devolver invalid_client. Este error no significa necesariamente que el ID de cliente o el secreto sean incorrectos.

Ejecuta esto en una hoja de trabajo segura de Snowflake. El nombre de la integración distingue entre mayúsculas y minúsculas y, por lo general, está en mayúsculas:

Comparte el ID de cliente y su secreto correspondiente con el admin de tu espacio de trabajo de Notion a través de un canal seguro aprobado. Snowflake proporciona dos secretos válidos, por lo que puedes rotarlos sin tiempo de inactividad. Nunca pegues ninguno de los secretos en documentación, chat, tickets o control de código fuente.

Una vez que Snowflake esté listo, el propietario o admin de tu espacio de trabajo agrega el servidor. Los miembros pueden encontrarlo sin ver el secreto de cliente de OAuth, ya sea que estén conectando el MCP de Snowflake a un agente personalizado o a su propio agente de Notion.

1. Ve a Configuración de tu espacio de trabajo.

2. Selecciona Conexiones → MCP compartidos del espacio de trabajo.

3. Selecciona Nuevo MCP de espacio de trabajo.

Completa estos campos y luego selecciona Agregar servidor MCP:

Después de guardar, confirma que la nueva fila aparezca en Compartido con este espacio de trabajo y que Workspace OAuth client muestre Configured.

Qué hace esta configuración:

• Ayuda a los miembros a encontrar el servidor aprobado.

• Almacena el secreto de cliente OAuth una vez en el almacenamiento de conexiones cifrado de Notion.

• Asegura que los miembros inicien sesión con la URL del servidor, el cliente y los alcances que usted aprobó.

• No crea una sesión de Snowflake compartida ni omite los controles de acceso de Snowflake.

• No conecta a cada miembro automáticamente. Cada persona debe iniciar sesión por separado.

Si eliminas esta configuración, los nuevos miembros ya no podrán encontrar el servidor. Las conexiones existentes podrían seguir apareciendo, así que coordina este cambio con la revocación de los permisos de Snowflake y la eliminación de las conexiones existentes.

Una vez que tus administradores tengan lista la conexión MCP de Snowflake, hay dos formas de usarla. Si la configuras para un equipo, empieza con el 11A. Si solo quieres hacer tus propias preguntas, salta al 11B. Puedes hacer ambas cosas, ya que son conexiones separadas.

Un agente personalizado te brinda a tu equipo un lugar centralizado para hacer preguntas sobre los datos de Snowflake. Conectas Snowflake una vez, añades instrucciones sobre tus métricas y tablas, y compartes el agente con tu equipo. Cada persona debe iniciar sesión en Snowflake con sus propias credenciales, por lo que obtendrá respuestas basadas únicamente en los datos a los que tiene acceso.

Conecta Snowflake a un agente personalizado

1. Abre tu agente personalizado o crea uno nuevo.

2. Ve a Configuración → Herramientas y acceso.

3. Selecciona Añadir conexión, luego elige el servidor de Snowflake etiquetado como Gestionado por el espacio de trabajo. No selecciones Servidor MCP personalizado ni ingreses la URL del servidor manualmente.

4. Inicia sesión en Snowflake en tu navegador. Es posible que aparezca el inicio de sesión habitual de Okta o SSO de tu organización.

5. Revisa y aprueba el rol de Snowflake solicitado.

6. Elige qué herramientas puede usar el agente. Deja las herramientas con capacidad de escritura y CORTEX_AGENT_RUN configuradas para solicitar aprobación hasta que las hayas probado.

7. Selecciona Conectar y confirma que la conexión aparezca como Conectado.

Proporciona contexto al agente

La conexión le otorga al agente acceso a Snowflake. Tus instrucciones le indican cómo utiliza tu empresa esos datos. En las instrucciones del agente, describe qué herramientas usar para cada tipo de pregunta, cómo define tu equipo las métricas clave y desde qué tablas o vistas semánticas comenzar. Unos cuantos ejemplos de preguntas verificadas son de gran ayuda. Para obtener un punto de partida listo para usar, consulta la guía del kit de herramientas Data Scout.

Comparte el agente

Comparte el agente con tu equipo de la misma manera que compartes cualquier Agente personalizado. La primera vez que alguien le haga una pregunta que requiera Snowflake, se le pedirá que inicie sesión con su propia cuenta de Snowflake. No se le solicitará un ID de cliente ni una clave secreta.

Si deseas hacer tus propias preguntas en tu propio chat, conecta Snowflake a tu agente de Notion. Inicias sesión con tu propia cuenta de Snowflake, por lo que tu agente solo accede a lo que tienes permiso para ver.

1. Ve a Configuración → IA de Notion.

2. En Servidores MCP, selecciona Añadir servidor MCP.

3. Selecciona el servidor de Snowflake etiquetado como Gestionado por el espacio de trabajo. No selecciones Servidor MCP personalizado ni ingreses la URL del servidor manualmente.

4. Selecciona Conectar.

5. Inicia sesión en Snowflake en tu navegador. Es posible que aparezca el inicio de sesión habitual de Okta o SSO de tu organización.

6. Revisa y aprueba el rol de Snowflake solicitado.

7. Cuando tu navegador pregunte si deseas abrir Notion, selecciona Abrir Notion.

8. Confirma que el estado del servidor esté Conectado, no Necesita autenticación.

Después de conectarse, Snowflake aparece en Todas las fuentes → Servidores MCP en el chat.

1. Haz una pregunta inofensiva con una respuesta conocida que deba usar Snowflake.

2. Confirma que el agente usa Snowflake y devuelve un resultado.

3. Confirma que no puedes acceder a datos fuera del rol que se te asignó.

Si configuras un agente personalizado, pídele también a un compañero de equipo con un rol de Snowflake más limitado que lo pruebe. Solo deberían ver sus propios datos, no los tuyos. Esa es la forma más rápida de confirmar que el agente está usando el acceso de cada persona en lugar del del creador.

Para una verificación más profunda, pídele a tu admin de Snowflake que confirme tu usuario, rol, almacén e historial de consultas. Un inicio de sesión exitoso confirma tu identidad, pero no confirma que cada concesión sea correcta.

Hazle al agente una pregunta específica sobre tus datos de Snowflake. Por ejemplo:

• De Snowflake, ¿cuáles fueron nuestros registros totales el mes pasado?

• "De Snowflake, ¿cuáles fueron nuestras 10 cuentas con mayores ingresos este trimestre?"

Con un agente personalizado, generalmente puedes omitir "de Snowflake" una vez que sus instrucciones dejen claro cuándo usarlo. Con tu agente de Notion, mencionar a Snowflake ayuda al agente a elegir la fuente correcta.

Las solicitudes grandes pueden tardar más o agotarse el tiempo de espera. Si eso sucede, haz una pregunta más específica o divide tu solicitud en preguntas más pequeñas.

La mayor parte del tiempo, tú permaneces conectado sin hacer nada. Snowflake utiliza tokens de acceso de corta duración y Notion los actualiza en segundo plano. Un token de acceso que caduca por sí solo no te desconectará.

Debes iniciar sesión de nuevo si:

• Tu token de actualización caduca o un admin lo revoca.

• Un admin reemplaza la integración de OAuth o el secreto del cliente.

• Se elimina tu rol de Snowflake.

• Un admin elimina la configuración del espacio de trabajo o tu conexión.

• Una política de red bloquea la actualización del token

Con un Agente personalizado, el inicio de sesión de cada persona es independiente. Si se le pide a una persona que inicie sesión de nuevo, no afecta a nadie más, y la persona que creó el agente no necesita hacer nada.

Si estás rotando el secreto del cliente: Utiliza la rotación de dos secretos de Snowflake en lugar de reemplazar la integración. Mantén ambos secretos válidos el tiempo suficiente para actualizar y probar la configuración del espacio de trabajo antes de retirar el anterior.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• La conexión MCP de Snowflake no aparece en la lista. Es posible que tu admin de tu espacio de trabajo aún no la haya agregado, o que tu espacio de trabajo limite los servidores personalizados. Pide ayuda a tu admin.

• Te solicitan un ID de cliente o un secreto. Probablemente elegiste la opción MCP personalizada. Regresa y elige el servidor de Snowflake marcado como Workspace Managed en su lugar.

• Te piden que inicies sesión de nuevo. Es posible que tu sesión de Snowflake haya caducado o que un admin haya actualizado la conexión. Inicia sesión en Snowflake de nuevo.

• Abriste un agente personalizado y te pidió que inicies sesión en Snowflake. Eso es normal la primera vez. Cada persona que utiliza un agente personalizado administrado debe iniciar sesión con sus propias credenciales de Snowflake.

• Un compañero de equipo obtiene resultados diferentes del mismo agente personalizado. Eso es normal. El agente usa el acceso de Snowflake de cada persona, por lo que quienes tengan roles distintos ven datos diferentes.

• El agente personalizado funciona en el chat pero no de forma programada. Las ejecuciones programadas y activadas no tienen a nadie conectado, por lo que aún no pueden usar Snowflake con inicio de sesión por persona.

• Iniciaste sesión, pero no se conecta o las herramientas fallan. Iniciar sesión demuestra quién eres, pero tu acceso aún depende de tus permisos de Snowflake. Pídele a tu admin de Snowflake que confirme que tu rol puede acceder al servidor, al almacén, al agente y a los datos.

• El agente no puede encontrar una tabla. El agente solo puede acceder a los datos a los que tu cuenta de Snowflake tiene acceso. Verifica tus permisos de Snowflake e incluye el nombre de la tabla en tu pregunta.

• Una solicitud agota el tiempo de espera. Haz una pregunta más específica o divide tu solicitud en preguntas más pequeñas.

Estos errores generalmente provienen de la configuración de Snowflake, no de Notion. Compártelos con tu admin de Snowflake.

• La URL del servidor parece duplicada, como https://https%3A... La dirección se pegó con un https:// adicional al principio. Corrígela para que la URL comience con solo un https://.

• Ves "Este servidor no admite la autenticación OAuth". La integración de seguridad no está configurada para OAuth o la URL del servidor es incorrecta. Pídele a tu admin de Snowflake que verifique la integración de seguridad OAuth y la URL del servidor.

• Ve invalid_client al iniciar sesión o actualizar. El ID de cliente o el secreto son incorrectos, o el secreto fue modificado. Pídele a tu admin el ID de cliente y el secreto actuales.

• El inicio de sesión funciona, pero falla de inmediato. Es posible que tu rol no llegue al servidor, o que una regla de rol o de red esté bloqueando la sesión. Pídele a tu admin que verifique tus permisos y políticas.

• Ves "The role ALL requested has been explicitly blocked." La conexión solicitó todos los roles a la vez (session:role:all), lo cual está bloqueado. Utiliza un rol exacto en su lugar, como session:role:analyst, con el nombre de tu rol real.

• Ves un error de redirección (error 390307). La URL de redirección guardada en Snowflake no coincide con la que usa Notion. Pídele a tu admin que establezca la URL de redirección en la integración de seguridad con el valor exacto de Notion.

• Ves el error 390311 sobre un desafío de código no válido. Esto es una falta de coincidencia de PKCE. Pídele a tu admin que confirme que OAUTH_ENFORCE_PKCE está configurado correctamente en la integración de seguridad.

• Estás conectado, pero no aparecen herramientas. Es posible que a tu rol le falte USAGE en el servidor MCP. Pídele a tu admin que confirme el permiso, luego ejecuta DESCRIBE MCP SERVER para verificar la configuración.

• Puedes acceder a más o menos datos de lo que esperabas. Los roles secundarios cambian lo que tu sesión puede ver. Verifica qué roles están activos en tu sesión con tu admin.

• Funcionaba antes, y ahora todos fallan después de un cambio de secreto. El secreto del cliente fue rotado, por lo que la conexión guardada está desactualizada. Pídele a tu admin el nuevo secreto, y luego vuelve a conectarte.

• Funcionaba antes, y ahora falla solo para ti. Es posible que un rol, permiso o política haya cambiado, o que tu sesión haya expirado. Vuelve a iniciar sesión y luego pídele a tu admin que confirme que tu acceso no ha cambiado.

• Tu identificador de cuenta es rechazado. Utiliza el formato organization-account con un guion, como myorg-myaccount, no puntos.

• Una cuenta de PrivateLink no puede conectarse. Las cuentas de PrivateLink requieren una configuración de red adicional. Pregunta a tu admin si PrivateLink permite la conexión con Notion.

• Snowflake no está disponible en ejecuciones programadas o activadas. Esas ejecuciones no tienen a una persona conectada, por lo que aún no pueden usar el inicio de sesión por persona. Ejecuta tu solicitud en el chat en su lugar.

• Ves oauth_security_error después de iniciar sesión a través del navegador. Una política de red a nivel de cuenta podría estar bloqueando la solicitud. Tu admin puede confirmarlo ejecutando:

• El inicio de sesión parece funcionar, pero recibes un error de rol, incluso con el alcance correcto. Es posible que tu rol predeterminado esté bloqueado, por ejemplo ACCOUNTADMIN o un rol en BLOCKED_ROLES_LIST. Tu admin puede verificarlo y corregirlo:

Estos comandos de solo lectura ayudan a tu admin a confirmar la configuración sin cambiar nada. Ejecútalos en Snowflake.

Usa estas guías de Snowflake para completar la configuración:

• Servidor MCP administrado por Snowflake

• Crear una integración de seguridad OAuth de Snowflake

• OAuth de Snowflake para clientes personalizados

• Descripción general de OAuth de Snowflake

• Identificadores de cuenta de Snowflake

• Agentes personalizados

• Conexiones MCP para agentes personalizados

• Conecta servidores MCP a tu agente de Notion

• Prácticas recomendadas de seguridad para las conexiones de agentes