Konfigurer Snowflake MCP for Notion

Dine Skreddersydde agenter og Notion-agent kan koble til Snowflake via en MCP (Model Context Protocol)-server som Snowflake kjører. Når den er konfigurert, kan du spørre agenten din om Snowflake-datavarehusdataene dine og få svar direkte i Notion.

Oppsettet skjer i etapper, og ulike personer har ansvar for hver av dem:

• En Snowflake-administrator setter opp rollen, datavarehuset og den Snowflake-administrerte MCP-serveren.

• En eier eller administrator av Notion-arbeidsområdet konfigurerer Snowflake MCP-tilkoblingen for arbeidsområdet.

• Medlemmer av arbeidsområdet kan deretter koble til Snowflake MCP fra Skreddersydde agenter ved å bruke sine egne Snowflake-legitimasjoner, eller koble Snowflake direkte til Notion-agenten sin. Trinn 1–10 i denne artikkelen er like for begge baner. Banene skiller lag ved trinn 11, avhengig av hvilken agent du vil koble til.

• Verktøyene som er tilgjengelige kan variere avhengig av Snowflake-skyregionen din.

• Snowflakes administrerte MCP-server er ikke tilgjengelig i Fastlands-Kina eller offentlige regioner.

• Notion-arbeidsområdet ditt må være på et Business- eller Enterprise-abonnement.

• Bruk Notion på nett eller skrivebord. Denne funksjonen er ikke tilgjengelig på mobil.

• Bedriften din må ha en Snowflake-konto.

• For å bygge en Skreddersydd agent, trenger du tilgang til å opprette agenter i arbeidsområdet ditt.

Før teamet ditt kan koble Snowflake til Notion, må en Snowflake-administrator sette opp tilgang. Dette er det mest omfattende steget, og du trenger bare å gjøre det én gang. Samarbeid med Notion-arbeidsområdeadministratoren din: Notion oppgir en omdirigerings-URI, og Snowflake oppgir en OAuth-klient-ID og -hemmelighet.

Du skal sette opp en rolle og et datavarehus, opprette den Snowflake-administrerte MCP-serveren, gi den tilgang til ressursene den trenger, konfigurere OAuth-omfanget og sikkerhetsintegrasjonen, samt legge til en nettverkspolicy hvis organisasjonen din krever det.

Fyll ut dette arbeidsarket sammen med Notion-arbeidsområdeadministratoren din før du starter. Medlemmer kan hoppe over dette og logge på med sine egne Snowflake-kontoer når oppsettet er fullført.

Kontohostnavnet bruker bindestreker, ikke understreker. Sørg for at hvert objektnavn i server-URL-en samsvarer med det tilsvarende objektnavnet i Snowflake.

Bruk en dedikert rolle med færrest mulige rettigheter og ett godkjent datavarehus når det er mulig.

Begrenset rolle uten sekundære roller (anbefalt). Denne modellen er enklere å forstå og revidere. Sett OAUTH_USE_SECONDARY_ROLES = NONE, spesifiser ALLOWED_ROLES_LIST, og bruk Notion-omfanget session:role:<mcp_access_role>.

En brukers standard sekundære roller (valgfritt). Bruk kun denne modellen når serveren trenger rettigheter arvet fra hver brukers Snowflake DEFAULT_SECONDARY_ROLES. Sett OAUTH_USE_SECONDARY_ROLES = IMPLICIT, utelat ALLOWED_ROLES_LIST, og bruk et eksplisitt omfang for primærrolle. Snowflake tillater ikke IMPLICIT sekundære roller med ALLOWED_ROLES_LIST, så utelat tillatelseslisten når du bruker denne modellen.

Bruk en dedikert rolle med færrest mulige rettigheter for MCP-serveren når det er mulig.

Tildel denne rollen gjennom din vanlige prosess for identitetsbehandling. Hvis Okta eller SCIM administrerer Snowflake-rolletilhørighet, må du ikke legge til brukere manuelt utenfor denne prosessen.

Opprett eller velg en database og et skjema som eies av teamet som skal kjøre serveren.

For styrte forretningsspørsmål kan du eksponere en Cortex Agent som verktøyet medlemmene bruker. Det holder semantiske visninger, verifiserte spørringer, Hurtigsøk og orkestrering på ett sted. En Cortex Agent er valgfri. Hvis du oppretter en, bruk spesifikasjonen nedenfor. Hvis du erstatter en eksisterende agent, må du sørge for at erstatningen samsvarer med din godkjente spesifikasjon.

Andre støttede Snowflake MCP-verktøytyper inkluderer CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Gi hvert verktøy et tydelig navn og en beskrivelse. Forklar hvilke data det dekker, hvor detaljerte resultatene er, og når det skal brukes. Dette hjelper agenten med å velge riktig verktøy.

USAGE-privilegiet på en MCP-server lar en rolle koble til serveren og oppdage verktøyene dens. Det gir ikke rollen tilgang til datavarehuset, agenten, den semantiske visningen, Hurtigsøk, lagret prosedyre eller underliggende data. Gi rollen tilgang til hver ressurs som serverens verktøy trenger.

Gi tilgang kun til de ekstra ressursene hvert verktøy trenger. For eksempel, gi SELECT på en godkjent semantisk visning, USAGE på en Cortex Hurtigsøk-tjeneste, eller USAGE på en spesifikk Funksjon eller prosedyre. Ikke gi rollen til PUBLIC eller legg til brede privilegier for nåværende eller fremtidige objekter.

Før du setter opp OAuth, sjekk MCP-serveren og dens tilgang:

Konfigurer MCP-skjemaet til å annonsere den nøyaktige rollen medlemmer bør be om:

Bruk et eksplisitt rolleomfang. Ikke bruk session:role:all. Snowflake behandler den verdien som brukerens standard primærrolle, ikke som tilgang til hver rolle, og retningslinjer for privilegerte roller kan blokkere den. En eksplisitt rolle gjør den forespurte tilgangen tydelig og enklere å sjekke.

Før du kjører denne SQL-en, koordiner med administratoren for Notion-arbeidsområdet ditt. Be dem om å skrive inn Snowflake-server-URL-en i MCP-oppsettsskjemaet for arbeidsområdet og slå på Konfigurer autentisering manuelt og Bruk en arbeidsområdedelt OAuth-klient. Notion genererer en omdirigerings-URI. Kopier den og send den til Snowflake-administratoren. Etter at Snowflake har opprettet klient-ID-en og hemmeligheten, kan arbeidsområdeadministratoren fullføre tilkoblingsoppsettet.

Bruk omdirigerings-URI-en nøyaktig slik Notion oppgir den. Ikke legg til en skråstrek til slutt eller spørringsparametere, og ikke endre verten.

Å sette IS_AGENTIC = TRUE markerer økter opprettet gjennom denne integrasjonen som agentøkter. Snowflakes IS_AGENT_ACTIVATED()-Funksjon returnerer da TRUE, noe som lar Snowflake bruke agentspesifikk styring. Hvis du bruker den valgfrie modellen for sekundær, sett OAUTH_USE_SECONDARY_ROLES = IMPLICIT og utelat ALLOWED_ROLES_LIST.

Gyldighetsverdien for oppdateringstoken på 7776000 sekunder tilsvarer 90 dager. Før du bruker den, bekreft at den samsvarer med organisasjonens retningslinjer for reautorisering og token-rotasjon. For rutinemessige endringer, unngå CREATE OR REPLACE SECURITY INTEGRATION. Utskifting av integrasjonen kan avbryte eksisterende tilkoblinger.

For å sjekke integrasjonen uten å vise hemmeligheten dens, kjør:

Bekreft at integrasjonen er slått på, at omdirigerings-URI-en samsvarer nøyaktig, at rollen er tillatt og ikke blokkert, at oppdateringstokener og PKCE er aktivert, og at både autorisasjons- og token-endepunktene benytter Snowflake sin offentlige konto-vert.

Dette trinnet er bare nødvendig hvis organisasjonen din krever en nettverkspolicy. Be din sikkerhets- eller nettverkseier om å godkjenne Notions gjeldende utgående områder.

OAuth-integrasjonen må tillate begge Notion-stiene:

1. API-stien som håndterer OAuth-tilbakekallinger og utveksler autorisasjonskoder

2. arbeidsområdets kjøretidssti som validerer tilkoblingen, kjører verktøy og oppdaterer tokener

Disse stiene kan bruke forskjellige utgående Notion-adresser. Hvis du bare tillater adressen som ble brukt under den første token-utvekslingen, kan påloggingen lykkes, men validering eller token-oppdatering kan mislykkes. Bruk Notions gjeldende, godkjente utgående områder. Ikke legg til en engangs-IP-adresse fra en nettleser eller logg til en tillatelsesliste for produksjon.

Knytt denne nettverkspolicyen til OAuth-integrasjonen, ikke til individuelle brukere. Ikke endre kontoomfattende policyer for pålogging i nettleser, VPN-tilgang eller brukertilgang til nettverk. Hvis en nettverkspolicy blokkerer en forespørsel om token, kan Snowflake returnere invalid_client. Denne feilen betyr ikke nødvendigvis at klient-ID-en eller hemmeligheten er feil.

Kjør dette i et sikkert Snowflake-arbeidsark. Integrasjonsnavnet skiller mellom store og små bokstaver og er vanligvis med store bokstaver:

Del klient-ID-en og den tilhørende hemmeligheten med administratoren for Notion-arbeidsområdet ved hjelp av en godkjent sikker kanal. Snowflake tilbyr to gyldige hemmeligheter, slik at du kan rotere dem uten nedetid. Lim aldri inn noen av hemmelighetene i dokumentasjon, chat, billetter eller kildekontroll.

Når Snowflake er klar, legger en eier eller administrator av arbeidsområdet til tjeneren én gang for arbeidsområdet. Medlemmer kan deretter finne den uten å se OAuth-klienthemmeligheten, enten de kobler Snowflake MCP til en Skreddersydd agent eller til sin egen Notion-agent.

1. Gå til Innstillinger for arbeidsområdet.

2. Velg Tilkoblinger → Arbeidsområdedelte MCP-er.

3. Velg Ny MCP for arbeidsområde.

Fyll ut disse feltene, og velg deretter Legg til MCP-server:

Etter at du har lagret, bekreft at den nye raden vises under Delte sider for dette arbeidsområdet og at Workspace OAuth client viser Configured.

Hva dette oppsettet gjør:

• Hjelper medlemmer med å finne den godkjente serveren.

• Lagrer OAuth-klienthemmeligheten én gang i Notions krypterte tilkoblingslagring.

• Sikrer at medlemmer logger på med server-URL-en, klienten og omfangene du har godkjent.

• Oppretter ikke en delt Snowflake-økt og omgår ikke Snowflakes tilgangskontroller.

• Kobler ikke til hvert medlem automatisk. Hver person må logge på separat.

Hvis du fjerner dette oppsettet, kan ikke nye medlemmer lenger finne serveren. Eksisterende tilkoblinger kan fortsatt vises, så koordiner denne endringen med tilbakekalling av Snowflake-tilganger og fjerning av eksisterende tilkoblinger.

Når administratorene dine har Snowflake MCP-tilkoblingen klar, er det to måter å bruke den på. Hvis du setter opp dette for et team, start med 11A. Hvis du bare vil stille dine egne spørsmål, hopp til 11B. Du kan gjøre begge deler; de er separate tilkoblinger.

En Skreddersydd agent gir teamet ditt ett sted å stille spørsmål om Snowflake-data. Du kobler til Snowflake én gang, legger til instruksjoner om beregninger og tabeller, og deler agenten med teamet ditt. Alle som bruker den, må logge på Snowflake med sin egen påloggingsinformasjon, slik at hver person kun får svar basert på dataene de har tilgang til å se.

Koble Snowflake til en Skreddersydd agent

1. Åpne din Skreddersydd agent, eller opprett en ny.

2. Gå til Innstillinger → Verktøy og tilgang.

3. Velg Legg til tilkobling, og velg deretter Snowflake-serveren merket Arbeidsområdeadministrert. Ikke velg Tilpasset MCP-server eller skriv inn server-URL-en manuelt.

4. Logg på Snowflake i nettleseren din. Organisasjonens vanlige Okta- eller SSO-pålogging kan dukke opp.

5. Gjennomgå og godkjenn den forespurte Snowflake-rollen.

6. Velg hvilke verktøy agenten kan bruke. La skrivekompatible verktøy og CORTEX_AGENT_RUN være satt til å be om godkjenning til du har testet dem.

7. Velg Koble til, og bekreft at forbindelsen vises som Tilkoblet.

Gi agenten kontekst

Forbindelsen gir agenten tilgang til Snowflake. Instruksjonene dine forteller den hvordan bedriften din bruker disse dataene. I agentens instruksjoner bør du beskrive hvilke verktøy som skal brukes til hvilke typer spørsmål, hvordan teamet ditt definerer nøkkeltall, og hvilke tabeller eller semantiske visninger man skal starte med. Noen få verifiserte eksempelspørsmål kommer man langt med. For et ferdig utgangspunkt, se veiledningen for Data Scout-verktøysettet.

Del agenten

Del agenten med teamet ditt på samme måte som du deler en hvilken som helst Skreddersydd agent. Første gang noen stiller den et spørsmål som krever Snowflake, blir de bedt om å logge på med sin egen Snowflake-konto. De blir ikke bedt om en klient-ID eller hemmelighet.

Hvis du vil stille dine egne spørsmål i din egen chat, kobler du Snowflake til din Notion-agent. Du logger på med din egen Snowflake-konto, slik at agenten din kun når det du har tilgang til å se.

1. Gå til Innstillinger → Notion KI.

2. Under MCP-servere, velg Legg til MCP-server.

3. Velg Snowflake-serveren merket Arbeidsområdeadministrert. Ikke velg Tilpasset MCP-server eller skriv inn server-URL-en manuelt.

4. Velg Koble til.

5. Logg på Snowflake i nettleseren din. Organisasjonens vanlige Okta- eller SSO-pålogging kan dukke opp.

6. Gjennomgå og godkjenn den forespurte Snowflake-rollen.

7. Når nettleseren din spør om du vil åpne Notion, velg Åpne Notion.

8. Bekreft at serverstatusen er Tilkoblet, ikke Trenger autentisering.

Etter at du har koblet til, vises Snowflake under Alle kilder → MCP-servere i chatten.

1. Still et ufarlig spørsmål med et kjent svar som bør bruke Snowflake.

2. Bekreft at agenten bruker Snowflake og returnerer et resultat.

3. Bekreft at du ikke kan få tilgang til data utenfor rollen du har fått tildelt.

Hvis du setter opp en Skreddersydd agent, be også en teamkollega med en mer begrenset Snowflake-rolle om å prøve den. De skal bare se sine egne data, ikke dine. Det er den raskeste måten å bekrefte at agenten bruker hver persons tilgang i stedet for byggherrens.

For en grundigere sjekk, be Snowflake-administratoren din om å bekrefte brukeren, rollen, lageret og spørringshistorikken din. En vellykket pålogging bekrefter identiteten din, men den bekrefter ikke at alle tilganger er korrekte.

Still agenten et spesifikt spørsmål om Snowflake-dataene dine. For eksempel:

• «Fra Snowflake, hva var våre totale påmeldinger forrige måned?»

• «Fra Snowflake, hva var våre 10 kontoer med høyest inntekt dette kvartalet?»

Med en Skreddersydd agent kan du vanligvis hoppe over «fra Snowflake» når instruksjonene gjør det tydelig når den skal brukes. Med Notion-agenten din hjelper det å nevne Snowflake slik at agenten velger riktig kilde.

Store forespørsler kan ta lengre tid eller få tidsavbrudd. Hvis det skjer, still et mer avgrenset spørsmål eller del opp forespørselen i mindre spørsmål.

Som regel forblir du tilkoblet uten å gjøre noe. Snowflake bruker kortlivede tilgangstokener, og Notion oppdaterer dem i bakgrunnen. Et utløpende tilgangstoken i seg selv vil ikke koble deg fra.

Du må logge inn på nytt hvis:

• Oppdateringstokenet ditt utløper eller en administrator tilbakekaller det

• En administrator erstatter OAuth-integrasjonen eller klienthemmeligheten

• Snowflake-rollen din fjernes

• En administrator fjerner arbeidsområdeoppsettet eller tilkoblingen din

• En nettverkspolicy blokkerer token-oppdateringen

Med en Skreddersydd agent er hver persons pålogging separat. Hvis én person blir bedt om å logge på igjen, påvirker det ikke noen andre, og personen som bygde agenten trenger ikke å gjøre noe.

Hvis du roterer klienthemmeligheten: Bruk Snowflakes to-hemmelighets-rotasjon i stedet for å erstatte integrasjonen. Hold begge hemmelighetene gyldige lenge nok til å oppdatere og teste arbeidsområdeoppsettet før du pensjonerer den gamle.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflake MCP-tilkoblingen er ikke oppført. Arbeidsområdeadministratoren din har kanskje ikke lagt den til ennå, eller arbeidsområdet ditt kan begrense egendefinerte servere. Be administratoren din om hjelp.

• Du blir bedt om en klient-ID eller hemmelighet. Du valgte sannsynligvis det Tilpassede MCP-server-alternativet. Gå tilbake og velg Snowflake-serveren merket Arbeidsområdeadministrert i stedet.

• Du blir bedt om å logge på igjen. Snowflake-økten din kan ha utløpt, eller en administrator kan ha oppdatert tilkoblingen. Logg på Snowflake igjen.

• Du åpnet en Skreddersydd agent, og den ba deg logge på Snowflake. Det er forventet første gang. Hver person som bruker en administrert Skreddersydd agent, må logge på med sin egen Snowflake-pålogging.

• En teamkollega får andre resultater fra den samme Skreddersydde agenten. Det er forventet. Agenten bruker hver persons Snowflake-tilgang, så personer med ulike roller ser ulike data.

• Den Skreddersydde agenten fungerer i chat, men ikke etter en tidsplan. Planlagte og utløste kjøringer har ingen pålogget person, så de kan foreløpig ikke bruke Snowflake med pålogging per person.

• Du logget på, men den vil ikke koble til, eller verktøyene feiler. Pålogging beviser hvem du er, men tilgangen din avhenger fortsatt av Snowflake-tilgangene dine. Be Snowflake-administratoren din om å bekrefte at rollen din kan nå serveren, datavarehuset, agenten og dataene.

• Agenten finner ikke en tabell. Agenten kan bare nå dataene som Snowflake-kontoen din kan nå. Sjekk Snowflake-tillatelsene dine, og inkluder tabellnavnet i spørsmålet ditt.

• En forespørsel utløper. Still et mer spesifikt spørsmål, eller del opp forespørselen i mindre spørsmål.

Disse feilene kommer vanligvis fra Snowflake-innstillinger, ikke Notion. Del dem med Snowflake-administratoren din.

• Server-URL-en ser ut til å være doblet, som https://https%3A... Adressen ble limt inn med en ekstra https:// foran. Rett den slik at URL-en bare starter med én https://.

• Du ser «This server does not support OAuth authentication.» Sikkerhetsintegrasjonen er ikke satt opp for OAuth, eller server-URL-en er feil. Be Snowflake-administratoren din om å sjekke OAuth-sikkerhetsintegrasjonen og server-URL-en.

• Du ser invalid_client mens du logger på eller oppdaterer. Klient-ID-en eller hemmeligheten er feil, eller hemmeligheten ble endret. Be administratoren din om gjeldende klient-ID og hemmelighet.

• Innlogging fungerer, men feiler umiddelbart etterpå. Kanskje får ikke rollen din tilgang til serveren, eller en rolle eller nettverksregel blokkerer økten. Be administratoren din om å sjekke tilgangene og retningslinjene dine.

• Du ser «The role ALL requested has been explicitly blocked.» Tilkoblingen ba om alle roller samtidig (session:role:all), noe som er blokkert. Bruk én spesifikk rolle i stedet, for eksempel session:role:analyst med ditt faktiske rollenavn.

• Du ser en omdirigeringsfeil (feil 390307). Omdirigerings-URL-en som er lagret i Snowflake, samsvarer ikke med den Notion bruker. Be administratoren din om å sette omdirigerings-URL-en på sikkerhetsintegrasjonen til den nøyaktige Notion-verdien.

• Du ser feil 390311 om en ugyldig kodeutfordring. Dette er en PKCE-samsvarsfeil. Be administratoren din om å bekrefte at OAUTH_ENFORCE_PKCE er satt riktig på sikkerhetsintegrasjonen.

• Du er tilkoblet, men ingen verktøy vises. Rollen din mangler kanskje USAGE på MCP-serveren. Be administratoren din om å bekrefte tilgangen, og kjør deretter DESCRIBE MCP SERVER for å sjekke oppsettet.

• Du kan nå mer eller mindre data enn forventet. Sekundære roller endrer hva økten din kan se. Sjekk hvilke roller som er aktive i økten din sammen med administratoren din.

• Det fungerte før, og nå feiler alt etter en hemmelig endring. Klienthemmeligheten ble rotert, så den lagrede forbindelsen er utdatert. Be administratoren din om den nye hemmeligheten, og koble til på nytt.

• Det fungerte før, og nå feiler det bare for deg. En rolle, tilgang eller retningslinje kan ha endret seg, eller økten din har utløpt. Logg på på nytt, og be deretter administratoren din om å bekrefte at tilgangen din ikke har endret seg.

• Kontoidentifikatoren din blir avvist. Bruk organisasjon-konto-formatet med bindestrek, som myorg-myaccount, ikke punktum.

• En PrivateLink-konto kan ikke koble til. PrivateLink-kontoer krever ekstra nettverksoppsett. Spør administratoren din om PrivateLink tillater Notion-forbindelsen.

• Snowflake er ikke tilgjengelig i planlagte eller utløste kjøringer. Disse kjøringene har ingen pålogget person, så de kan ikke bruke personlig pålogging ennå. Kjør forespørselen din i chatten i stedet.

• Du ser oauth_security_error etter å ha logget inn via nettleseren. En nettverkspolicy på kontonivå kan blokkere forespørselen. Administratoren din kan bekrefte dette ved å kjøre:

• Innlogging ser ut til å fungere, men du får en rollefeil, selv med riktig omfang. Standardrollen din kan være blokkert, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Administratoren din kan sjekke og fikse dette:

Disse skrivebeskyttede kommandoene hjelper administratoren din med å bekrefte oppsettet uten å endre noe. Kjør dem i Snowflake.

Bruk disse Snowflake-veiledningene for å fullføre oppsettet:

• Snowflake-administrert MCP-server

• Opprett en Snowflake OAuth-sikkerhetsintegrasjon

• Snowflake OAuth for Skreddersydd agent

• Oversikt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Skreddersydde agenter

• MCP-tilkoblinger for Skreddersydde agenter

• Koble MCP-servere til Notion-agenten din

• Beste praksis for sikkerhet ved agenttilkoblinger