Thiết lập Snowflake MCP cho Notion

Trợ lý tùy chỉnh và Trợ lý Notion của bạn có thể kết nối với Snowflake thông qua máy chủ MCP (Model Context Protocol) mà Snowflake vận hành. Sau khi thiết lập xong, bạn có thể hỏi trợ lý của mình về dữ liệu kho Snowflake và nhận câu trả lời trực tiếp trong Notion.

Quá trình thiết lập diễn ra theo từng giai đoạn và mỗi giai đoạn do những người khác nhau phụ trách:

• Một quản trị viên Snowflake thiết lập vai trò, kho dữ liệu và máy chủ MCP do Snowflake quản lý.

• Một chủ sở hữu hoặc quản trị viên không gian làm việc Notion định cấu hình kết nối Snowflake MCP cho không gian làm việc.

• Các thành viên không gian làm việc sau đó có thể kết nối với Snowflake MCP từ trợ lý tùy chỉnh bằng thông tin xác thực Snowflake của riêng họ, hoặc kết nối trực tiếp Snowflake với Trợ lý Notion của họ. Các bước từ 1–10 của bài viết này giống nhau cho cả hai lộ trình. Các lộ trình sẽ tách ra ở Bước 11, tùy thuộc vào trợ lý mà bạn muốn kết nối.

• Các công cụ khả dụng có thể thay đổi tùy theo khu vực đám mây Snowflake của bạn.

• Máy chủ MCP được quản lý của Snowflake không khả dụng ở Trung Quốc đại lục hoặc các khu vực chính phủ.

• Không gian làm việc Notion của bạn phải sử dụng gói Business hoặc gói Enterprise.

• Sử dụng Notion trên web hoặc máy tính để bàn. Tính năng này không khả dụng trên thiết bị di động.

• Công ty của bạn cần có tài khoản Snowflake.

• Để xây dựng trợ lý tùy chỉnh, bạn cần có quyền tạo trợ lý trong không gian làm việc của mình.

Trước khi nhóm của bạn có thể kết nối Snowflake với Notion, quản trị viên Snowflake cần thiết lập quyền truy cập. Đây là bước phức tạp nhất và bạn chỉ cần thực hiện một lần. Hãy làm việc với quản trị viên không gian làm việc Notion của bạn: Notion cung cấp URI chuyển hướng, còn Snowflake cung cấp ID khách hàng và bí mật OAuth.

Bạn sẽ thiết lập một vai trò và kho dữ liệu, tạo máy chủ MCP do Snowflake quản lý, cấp quyền truy cập vào các tài nguyên cần thiết, định cấu hình phạm vi OAuth và tích hợp bảo mật, đồng thời thêm chính sách mạng nếu tổ chức của bạn yêu cầu.

Điền vào bảng tính này cùng với quản trị viên không gian làm việc Notion của bạn trước khi bắt đầu. Các thành viên có thể bỏ qua bước này và đăng nhập bằng tài khoản Snowflake của riêng họ sau khi quá trình thiết lập hoàn tất.

Tên máy chủ của tài khoản sử dụng dấu gạch nối, không phải dấu gạch dưới. Đảm bảo mỗi tên đối tượng trong URL máy chủ khớp với tên đối tượng tương ứng trong Snowflake.

Sử dụng một vai trò chuyên dụng, có đặc quyền tối thiểu và một kho dữ liệu đã phê duyệt bất cứ khi nào có thể.

Vai trò bị hạn chế không có vai trò phụ (được khuyến nghị). Mô hình này dễ hiểu và dễ kiểm tra hơn. Đặt OAUTH_USE_SECONDARY_ROLES = NONE, chỉ định ALLOWED_ROLES_LIST và sử dụng phạm vi Notion session:role:<mcp_access_role>.

Các vai trò phụ mặc định của người dùng (tùy chọn). Chỉ sử dụng mô hình này khi máy chủ cần các đặc quyền được kế thừa từ DEFAULT_SECONDARY_ROLES Snowflake của mỗi người dùng. Đặt OAUTH_USE_SECONDARY_ROLES = IMPLICIT, bỏ qua ALLOWED_ROLES_LIST và sử dụng phạm vi vai trò chính rõ ràng. Snowflake không cho phép các vai trò phụ IMPLICIT với ALLOWED_ROLES_LIST, vì vậy hãy bỏ qua danh sách cho phép khi bạn sử dụng mô hình này.

Sử dụng một vai trò chuyên dụng, có đặc quyền tối thiểu cho máy chủ MCP bất cứ khi nào có thể.

Cấp vai trò này thông qua quy trình quản lý danh tính thông thường của bạn. Nếu Okta hoặc SCIM quản lý tư cách thành viên vai trò Snowflake, đừng thêm người dùng theo cách thủ công bên ngoài quy trình đó.

Tạo hoặc chọn một cơ sở dữ liệu và lược đồ thuộc sở hữu của nhóm sẽ chạy máy chủ.

Đối với các câu hỏi kinh doanh được quản lý, bạn có thể hiển thị Cortex Agent dưới dạng công cụ mà các thành viên sử dụng. Nó giữ các chế độ xem ngữ nghĩa, truy vấn đã xác minh, Tìm kiếm và điều phối ở một nơi. Cortex Agent là tùy chọn. Nếu bạn tạo một Cortex Agent, hãy sử dụng thông số kỹ thuật bên dưới. Nếu bạn thay thế một Cortex Agent hiện có, hãy đảm bảo sản phẩm thay thế khớp với thông số kỹ thuật đã được phê duyệt của bạn.

Các loại công cụ MCP Snowflake được hỗ trợ khác bao gồm CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC và SYSTEM_EXECUTE_SQL.

Đặt cho mỗi công cụ một tên và mô tả rõ ràng. Giải thích dữ liệu mà nó bao gồm, mức độ chi tiết của kết quả và khi nào nên sử dụng nó. Điều này giúp trợ lý chọn đúng công cụ.

Đặc quyền USAGE trên máy chủ MCP cho phép một vai trò kết nối với máy chủ và khám phá các công cụ của nó. Nó không cấp cho vai trò quyền truy cập vào kho dữ liệu, trợ lý, chế độ xem ngữ nghĩa, dịch vụ Tìm kiếm, thủ tục lưu trữ hoặc dữ liệu cơ bản. Hãy cấp cho vai trò quyền truy cập vào từng tài nguyên mà các công cụ của máy chủ cần.

Chỉ cấp quyền truy cập vào các tài nguyên bổ sung mà mỗi công cụ cần. Ví dụ: cấp SELECT trên một xem ngữ nghĩa đã phê duyệt, USAGE trên dịch vụ Cortex Search, hoặc USAGE trên một hàm hoặc thủ tục cụ thể. Không cấp vai trò cho PUBLIC hoặc thêm các đặc quyền rộng rãi cho các đối tượng hiện tại hoặc tương lai.

Trước khi thiết lập OAuth, hãy kiểm tra máy chủ MCP và các quyền của nó:

Định cấu hình lược đồ MCP để quảng cáo vai trò chính xác mà thành viên nên yêu cầu:

Sử dụng phạm vi vai trò rõ ràng. Không sử dụng session:role:all. Snowflake coi giá trị đó là vai trò chính mặc định của người dùng, không phải là quyền truy cập vào mọi vai trò, và các chính sách cho các vai trò đặc quyền có thể chặn nó. Một vai trò rõ ràng giúp quyền truy cập được yêu cầu trở nên rõ ràng và dễ kiểm tra hơn.

Trước khi chạy SQL này, hãy phối hợp với quản trị viên không gian làm việc Notion của bạn. Yêu cầu họ nhập URL máy chủ Snowflake vào biểu mẫu thiết lập MCP của không gian làm việc và bật Manually configure authentication và Use a workspace-shared OAuth client. Notion tạo ra một URI chuyển hướng. Hãy sao chép nó và gửi cho quản trị viên Snowflake. Sau khi Snowflake tạo ID khách hàng và bí mật, quản trị viên không gian làm việc có thể hoàn tất việc thiết lập kết nối.

Sử dụng URI chuyển hướng chính xác như Notion cung cấp. Không thêm dấu gạch chéo ở cuối hoặc các tham số truy vấn, và không thay đổi máy chủ.

Việc đặt IS_AGENTIC = TRUE đánh dấu các phiên được tạo thông qua tích hợp này là phiên tác nhân. Sau đó, hàm IS_AGENT_ACTIVATED() của Snowflake sẽ trả về TRUE, cho phép Snowflake áp dụng kiểm toán và quản trị dành riêng cho tác nhân. Nếu bạn sử dụng mô hình vai trò phụ tùy chọn, hãy đặt OAUTH_USE_SECONDARY_ROLES = IMPLICIT và bỏ qua ALLOWED_ROLES_LIST.

Giá trị hiệu lực của mã thông báo làm mới 7776000 giây tương đương với 90 ngày. Trước khi sử dụng, hãy xác nhận rằng giá trị này khớp với các chính sách ủy quyền lại và xoay vòng mã thông báo của tổ chức bạn. Đối với các thay đổi thông thường, hãy tránh dùng CREATE OR REPLACE SECURITY INTEGRATION. Việc thay thế tích hợp có thể làm gián đoạn các kết nối hiện có.

Để kiểm tra tích hợp mà không hiển thị bí mật của nó, hãy chạy:

Xác nhận rằng tích hợp đã được bật, URI chuyển hướng khớp chính xác, vai trò được cho phép và không bị chặn, mã thông báo làm mới và PKCE đã được bật, và cả điểm cuối ủy quyền và điểm cuối mã thông báo đều sử dụng máy chủ tài khoản công khai của Snowflake.

Bước này chỉ cần thiết nếu tổ chức của bạn yêu cầu chính sách mạng. Hãy yêu cầu chủ sở hữu mạng của bạn phê duyệt các phạm vi truy xuất hiện tại của Notion.

Tích hợp OAuth phải cho phép cả hai đường dẫn Notion:

1. đường dẫn API xử lý các lệnh gọi lại OAuth và trao đổi mã ủy quyền

2. đường dẫn thời gian chạy không gian làm việc xác thực kết nối, chạy các công cụ và làm mới mã thông báo

Các đường dẫn này có thể sử dụng các địa chỉ truy xuất Notion khác nhau. Nếu bạn chỉ cho phép địa chỉ được sử dụng trong quá trình trao đổi mã thông báo ban đầu, việc đăng nhập có thể thành công, nhưng xác thực hoặc làm mới mã thông báo có thể thất bại. Hãy sử dụng các phạm vi truy xuất hiện tại, đã được phê duyệt của Notion. Không thêm địa chỉ IP dùng một lần từ trình duyệt hoặc nhật ký vào danh sách cho phép sản xuất.

Đính kèm chính sách mạng này vào tích hợp OAuth, không phải vào từng người dùng riêng lẻ. Đừng thay đổi các chính sách trên toàn tài khoản của bạn đối với việc đăng nhập trình duyệt, truy cập VPN hoặc truy cập mạng của người dùng. Nếu một chính sách mạng chặn yêu cầu mã thông báo, Snowflake có thể trả về invalid_client. Lỗi này không nhất thiết có nghĩa là ID khách hàng hoặc bí mật không chính xác.

Chạy lệnh này trong một trang tính Snowflake an toàn. Tên tích hợp có phân biệt chữ hoa chữ thường và thường ở dạng chữ in hoa:

Chia sẻ ID khách hàng và bí mật tương ứng với quản trị viên không gian làm việc Notion bằng kênh bảo mật đã được phê duyệt. Snowflake cung cấp hai bí mật hợp lệ để bạn có thể xoay vòng chúng mà không gây gián đoạn thời gian hoạt động. Không bao giờ dán bất kỳ bí mật nào vào tài liệu, trò chuyện, phiếu hỗ trợ hoặc hệ thống kiểm soát nguồn.

Khi Snowflake đã sẵn sàng, chủ sở hữu hoặc quản trị viên không gian làm việc sẽ thêm máy chủ một lần cho không gian làm việc đó. Sau đó, các thành viên có thể tìm thấy máy chủ mà không cần nhìn thấy bí mật khách hàng OAuth, bất kể họ đang kết nối Snowflake MCP với một trợ lý tùy chỉnh hay với Trợ lý Notion của riêng họ.

1. Đi tới Cài đặt cho không gian làm việc.

2. Chọn Kết nối → MCP được chia sẻ trong không gian làm việc.

3. Chọn MCP mới cho không gian làm việc.

Điền vào các trường này, sau đó chọn Thêm máy chủ MCP:

Sau khi lưu, hãy xác nhận rằng hàng mới xuất hiện trong Đã chia sẻ với không gian làm việc này và Ứng dụng khách OAuth của không gian làm việc hiển thị Đã định cấu hình.

Thiết lập này thực hiện những gì:

• Giúp các thành viên tìm thấy máy chủ đã được phê duyệt.

• Lưu trữ khóa bí mật của ứng dụng khách OAuth một lần trong bộ lưu trữ kết nối được mã hóa của Notion.

• Đảm bảo các thành viên đăng nhập bằng URL máy chủ, ứng dụng khách và phạm vi mà bạn đã phê duyệt.

• Không tạo phiên Snowflake đã được chia sẻ hoặc bỏ qua các kiểm soát truy cập của Snowflake.

• Không tự động kết nối mọi thành viên. Mỗi người phải đăng nhập riêng.

Nếu bạn xóa thiết lập này, các thành viên mới sẽ không thể tìm thấy máy chủ nữa. Các kết nối hiện có vẫn có thể xuất hiện, vì vậy hãy phối hợp thay đổi này với việc thu hồi các quyền của Snowflake và xóa các kết nối hiện có.

Khi quản trị viên của bạn đã sẵn sàng kết nối Snowflake MCP, có hai cách để sử dụng kết nối đó. Nếu bạn đang thiết lập việc này cho một nhóm, hãy bắt đầu với 11A. Nếu bạn chỉ muốn tự đặt câu hỏi, hãy chuyển đến 11B. Bạn có thể thực hiện cả hai; chúng là các kết nối riêng biệt.

Trợ lý tùy chỉnh cung cấp cho nhóm của bạn một nơi để hỏi về dữ liệu Snowflake. Bạn kết nối Snowflake một lần, thêm hướng dẫn về các chỉ số và bảng biểu của mình, rồi chia sẻ trợ lý đó với nhóm. Mọi người sử dụng trợ lý này sẽ được yêu cầu đăng nhập vào Snowflake bằng thông tin đăng nhập của riêng họ, vì vậy mỗi người chỉ nhận được câu trả lời dựa trên dữ liệu mà họ được phép xem.

Kết nối Snowflake với trợ lý tùy chỉnh

1. Mở trợ lý tùy chỉnh của bạn, hoặc tạo một trợ lý mới.

2. Đi tới Cài đặt → Công cụ & Truy cập.

3. Chọn Thêm kết nối, sau đó chọn máy chủ Snowflake có nhãn Được quản lý bởi không gian làm việc. Không chọn Máy chủ MCP tùy chỉnh hoặc nhập URL máy chủ theo cách thủ công.

4. Đăng nhập vào Snowflake trong trình duyệt của bạn. Đăng nhập Okta hoặc SSO thông thường của tổ chức bạn có thể xuất hiện.

5. Nhận xét và phê duyệt vai trò Snowflake được yêu cầu.

6. Chọn các công cụ mà trợ lý có thể sử dụng. Hãy để các công cụ có khả năng ghi và CORTEX_AGENT_RUN ở trạng thái yêu cầu phê duyệt cho đến khi bạn đã kiểm tra chúng.

7. Chọn Kết nối, và xác nhận kết nối hiển thị là Đã kết nối.

Cung cấp ngữ cảnh cho trợ lý

Kết nối này cho phép trợ lý truy cập vào Snowflake. Các hướng dẫn của bạn sẽ cho trợ lý biết cách công ty bạn sử dụng dữ liệu đó. Trong phần hướng dẫn của trợ lý, hãy mô tả những công cụ nào cần sử dụng cho từng loại câu hỏi, cách nhóm của bạn xác định các chỉ số chính và những bảng hoặc chế độ xem ngữ nghĩa nào cần bắt đầu. Một vài câu hỏi ví dụ đã được xác minh sẽ rất hữu ích. Để có điểm bắt đầu sẵn sàng, hãy xem hướng dẫn bộ công cụ Data Scout.

Chia sẻ trợ lý

Chia sẻ trợ lý với nhóm của bạn theo cách tương tự như cách bạn chia sẻ bất kỳ trợ lý tùy chỉnh nào. Lần đầu tiên ai đó hỏi trợ lý một câu hỏi cần đến Snowflake, họ sẽ được nhắc đăng nhập bằng tài khoản Snowflake của riêng họ. Họ sẽ không được yêu cầu cung cấp ID khách hàng hoặc mã bí mật.

Nếu bạn muốn tự đặt câu hỏi trong trò chuyện của riêng mình, hãy kết nối Snowflake với Trợ lý Notion của bạn. Bạn đăng nhập bằng tài khoản Snowflake của chính mình, vì vậy trợ lý của bạn chỉ tiếp cận được những gì bạn được phép xem.

1. Đi tới Cài đặt → Notion AI.

2. Trong phần Máy chủ MCP, chọn Thêm máy chủ MCP.

3. Chọn máy chủ Snowflake có nhãn Được quản lý bởi không gian làm việc. Không chọn Máy chủ MCP tùy chỉnh hoặc nhập URL máy chủ theo cách thủ công.

4. Chọn Kết nối.

5. Đăng nhập vào Snowflake trong trình duyệt của bạn. Đăng nhập Okta hoặc SSO thông thường của tổ chức bạn có thể xuất hiện.

6. Nhận xét và phê duyệt vai trò Snowflake được yêu cầu.

7. Khi trình duyệt của bạn hỏi có muốn mở Notion hay không, hãy chọn Mở Notion.

8. Xác nhận rằng trạng thái máy chủ là Đã kết nối, không phải Cần xác thực.

Sau khi bạn kết nối, Snowflake sẽ xuất hiện trong Tất cả nguồn → Máy chủ MCP trong trò chuyện.

1. Hãy hỏi một câu hỏi vô hại với câu trả lời đã biết mà lẽ ra phải sử dụng Snowflake.

2. Xác nhận rằng trợ lý sử dụng Snowflake và trả về kết quả.

3. Xác nhận rằng bạn không thể truy cập dữ liệu bên ngoài vai trò mà bạn đã được cấp.

Nếu bạn thiết lập một trợ lý tùy chỉnh, hãy nhờ một thành viên nhóm có vai trò Snowflake hạn chế hơn thử dùng nó. Họ chỉ nên thấy dữ liệu của riêng họ, không phải của bạn. Đó là cách nhanh nhất để xác nhận trợ lý đang sử dụng quyền truy cập của từng người thay vì của trình tạo.

Để kiểm tra kỹ hơn, hãy nhờ quản trị viên Snowflake của bạn xác nhận người dùng, vai trò, kho dữ liệu và lịch sử truy vấn của bạn. Việc đăng nhập thành công xác nhận danh tính của bạn, nhưng nó không xác nhận rằng mọi quyền đều chính xác.

Hãy hỏi trợ lý một câu hỏi cụ thể về dữ liệu Snowflake của bạn. Ví dụ:

• "Từ Snowflake, tổng số lượt đăng ký của chúng ta tháng trước là bao nhiêu?"

• "Từ Snowflake, 10 tài khoản có doanh thu cao nhất của chúng ta trong quý này là gì?"

Với một trợ lý tùy chỉnh, bạn thường có thể bỏ qua cụm từ "từ Snowflake" khi Hướng dẫn của nó đã làm rõ thời điểm cần sử dụng. Với Trợ lý Notion của bạn, việc nêu tên Snowflake giúp trợ lý chọn đúng nguồn.

Các yêu cầu lớn có thể mất nhiều thời gian hơn hoặc bị hết thời gian chờ. Nếu điều đó xảy ra, hãy đặt câu hỏi hẹp hơn hoặc chia yêu cầu thành các câu hỏi nhỏ hơn.

Hầu hết thời gian, bạn vẫn duy trì kết nối mà không cần làm gì cả. Snowflake sử dụng các mã truy cập có thời hạn ngắn và Notion sẽ làm mới chúng ở chế độ nền. Bản thân việc mã truy cập hết hạn sẽ không làm bạn bị ngắt kết nối.

Bạn sẽ cần đăng nhập lại nếu:

• Mã làm mới của bạn hết hạn hoặc quản trị viên thu hồi nó

• Quản trị viên thay thế tích hợp OAuth hoặc bí mật máy khách

• Vai trò Snowflake của bạn bị xóa

• Quản trị viên xóa thiết lập không gian làm việc hoặc kết nối của bạn

• Chính sách mạng chặn việc làm mới mã thông báo

Với trợ lý tùy chỉnh, việc đăng nhập của mỗi người là riêng biệt. Nếu một người được yêu cầu đăng nhập lại, điều đó không ảnh hưởng đến bất kỳ ai khác và trình tạo trợ lý không cần phải làm gì cả.

Nếu bạn đang xoay vòng bí mật máy khách: Sử dụng tính năng xoay vòng hai bí mật của Snowflake thay vì thay thế tích hợp. Giữ cả hai bí mật hợp lệ đủ lâu để cập nhật và kiểm tra thiết lập không gian làm việc trước khi hủy bỏ bí mật cũ.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Kết nối Snowflake MCP không được liệt kê. Quản trị viên không gian làm việc của bạn có thể chưa thêm nó hoặc không gian làm việc của bạn có thể giới hạn các máy chủ tùy chỉnh. Hãy nhờ quản trị viên của bạn trợ giúp.

• Bạn được yêu cầu nhập ID khách hàng hoặc bí mật. Có lẽ bạn đã chọn tùy chọn MCP tùy chỉnh. Hãy quay lại và chọn máy chủ Snowflake được đánh dấu Workspace Managed thay thế.

• Bạn được yêu cầu đăng nhập lại. Phiên Snowflake của bạn có thể đã hết hạn hoặc quản trị viên có thể đã cập nhật kết nối. Hãy đăng nhập lại vào Snowflake.

• Bạn đã mở một trợ lý tùy chỉnh và nó yêu cầu bạn đăng nhập vào Snowflake. Điều đó là bình thường trong lần đầu tiên. Mỗi người sử dụng trợ lý tùy chỉnh được quản lý đều bắt buộc phải đăng nhập bằng thông tin đăng nhập Snowflake của riêng họ.

• Một thành viên nhóm nhận được kết quả khác từ cùng một trợ lý tùy chỉnh. Điều đó là bình thường. Trợ lý sử dụng quyền truy cập Snowflake của từng người, vì vậy những người có vai trò khác nhau sẽ thấy dữ liệu khác nhau.

• Trợ lý tùy chỉnh hoạt động trong trò chuyện nhưng không hoạt động theo lịch trình. Các lượt chạy theo lịch trình và được kích hoạt không có người đăng nhập, vì vậy chúng chưa thể sử dụng Snowflake với tính năng đăng nhập theo từng người.

• Bạn đã đăng nhập nhưng nó không kết nối hoặc các công cụ bị lỗi. Việc đăng nhập chứng minh bạn là ai, nhưng quyền truy cập của bạn vẫn phụ thuộc vào các quyền Snowflake của bạn. Hãy yêu cầu quản trị viên Snowflake của bạn xác nhận vai trò của bạn có thể truy cập máy chủ, kho dữ liệu, trợ lý và dữ liệu.

• Trợ lý không thể tìm thấy bảng biểu. Trợ lý chỉ có thể truy cập dữ liệu mà tài khoản Snowflake của bạn có thể truy cập. Kiểm tra quyền Snowflake của bạn và bao gồm tên bảng biểu trong câu hỏi của bạn.

• Một yêu cầu bị hết thời gian chờ. Hãy đặt câu hỏi cụ thể hơn hoặc chia yêu cầu của bạn thành các câu hỏi nhỏ hơn.

Những lỗi này thường xuất phát từ cài đặt Snowflake, không phải Notion. Hãy chia sẻ chúng với quản trị viên Snowflake của bạn.

• URL máy chủ trông bị lặp lại, như https://https%3A... Địa chỉ đã được dán với một https:// thừa ở phía trước. Hãy sửa lại để URL chỉ bắt đầu bằng một https://.

• Bạn thấy "Máy chủ này không hỗ trợ xác thực OAuth." Tích hợp bảo mật chưa được thiết lập cho OAuth hoặc URL máy chủ bị sai. Hãy yêu cầu quản trị viên Snowflake của bạn kiểm tra tích hợp bảo mật OAuth và URL máy chủ.

• Bạn thấy invalid_client trong khi đăng nhập hoặc làm mới. ID khách hàng hoặc bí mật bị sai, hoặc bí mật đã bị thay đổi. Hãy yêu cầu quản trị viên của bạn cung cấp ID khách hàng và bí mật hiện tại.

• Đăng nhập thành công, nhưng sau đó bị lỗi ngay lập tức. Vai trò của bạn có thể không đến được máy chủ, hoặc một vai trò hay quy tắc mạng đang chặn phiên làm việc. Hãy yêu cầu quản trị viên kiểm tra các quyền và chính sách của bạn.

• Bạn thấy "Vai trò ALL được yêu cầu đã bị chặn rõ ràng." Kết nối đã yêu cầu tất cả các vai trò cùng một lúc (session:role:all), điều này bị chặn. Hãy sử dụng một vai trò chính xác thay thế, như session:role:analyst, với tên vai trò thực của bạn.

• Bạn thấy lỗi chuyển hướng (lỗi 390307). URL chuyển hướng được lưu trong Snowflake không khớp với URL mà Notion sử dụng. Hãy yêu cầu quản trị viên đặt URL chuyển hướng trên tích hợp bảo mật thành giá trị Notion chính xác.

• Bạn thấy lỗi 390311 về thử thách mã không hợp lệ. Đây là lỗi không khớp PKCE. Hãy yêu cầu quản trị viên xác nhận OAUTH_ENFORCE_PKCE đã được đặt chính xác trên tích hợp bảo mật.

• Bạn đã kết nối, nhưng không có công cụ nào hiển thị. Vai trò của bạn có thể thiếu quyền USAGE trên máy chủ MCP. Hãy yêu cầu quản trị viên xác nhận quyền, sau đó chạy DESCRIBE MCP SERVER để kiểm tra thiết lập.

• Bạn có thể truy cập nhiều hoặc ít dữ liệu hơn dự kiến. Các vai trò phụ thay đổi những gì phiên làm việc của bạn có thể thấy. Hãy kiểm tra các vai trò nào đang hoạt động trong phiên làm việc của bạn với quản trị viên.

• Trước đây nó hoạt động, và bây giờ mọi người đều gặp lỗi sau khi thay đổi bí mật. Bí mật ứng dụng khách đã được xoay vòng, vì vậy kết nối đã lưu không còn cập nhật. Hãy hỏi quản trị viên của bạn về bí mật mới, sau đó kết nối lại.

• Trước đây nó hoạt động, nhưng giờ chỉ với bạn thì không hoạt động. Một vai trò, quyền hoặc chính sách có thể đã thay đổi, hoặc phiên làm việc của bạn đã hết hạn. Hãy đăng nhập lại và sau đó yêu cầu quản trị viên xác nhận rằng quyền truy cập của bạn không thay đổi.

• Định danh tài khoản của bạn bị từ chối. Sử dụng định dạng organization-account với dấu gạch nối, như myorg-myaccount, không sử dụng dấu chấm.

• Tài khoản PrivateLink không thể kết nối. Các tài khoản PrivateLink cần thiết lập mạng bổ sung. Hãy hỏi quản trị viên của bạn xem PrivateLink có cho phép kết nối Notion hay không.

• Snowflake không khả dụng trong các lần chạy theo lịch trình hoặc được kích hoạt. Những lần chạy đó không có người đăng nhập, vì vậy chúng chưa thể sử dụng tính năng đăng nhập theo từng người. Thay vào đó, hãy chạy yêu cầu của bạn trong cuộc trò chuyện.

• Bạn thấy oauth_security_error sau khi đăng nhập qua trình duyệt. Một chính sách mạng cấp tài khoản có thể đang chặn yêu cầu. Quản trị viên của bạn có thể xác nhận bằng cách chạy:

• Đăng nhập có vẻ hoạt động nhưng bạn gặp lỗi vai trò, ngay cả khi có phạm vi quyền đúng. Vai trò mặc định của bạn có thể bị chặn, ví dụ như ACCOUNTADMIN hoặc một vai trò trong BLOCKED_ROLES_LIST. Quản trị viên của bạn có thể kiểm tra và khắc phục bằng cách:

Các lệnh chỉ đọc này giúp quản trị viên của bạn xác nhận thiết lập mà không thay đổi bất kỳ điều gì. Hãy chạy chúng trong Snowflake.

Sử dụng các hướng dẫn Snowflake này để hoàn tất thiết lập:

• Máy chủ MCP do Snowflake quản lý

• Tạo tích hợp bảo mật OAuth của Snowflake

• Snowflake OAuth cho các ứng dụng khách tùy chỉnh

• Tổng quan về OAuth của Snowflake

• Các định danh tài khoản Snowflake

• Trợ lý tùy chỉnh

• Các kết nối MCP cho trợ lý tùy chỉnh

• Kết nối các máy chủ MCP với Trợ lý Notion của bạn

• Các phương pháp bảo mật tốt nhất cho kết nối của Trợ lý