Opsætte Snowflake MCP til Notion

Dine tilpassede agenter og din Notion-agent kan oprette forbindelse til Snowflake via en MCP (Model Context Protocol)-server som Snowflake kører. Når serveren er konfigureret, kan du spørge din agent om dine Snowflake-warehouse-data og få svar direkte i Notion.

Konfigurationen sker i etaper, og forskellige personer har ansvaret for hver sin del:

• En Snowflake-administrator konfigurerer rollen, warehouset og den Snowflake-administrerede MCP-server.

• En ejer eller administrator af et Notion-arbejdsområde konfigurerer Snowflake MCP-forbindelsen til arbejdsområdet.

• Medlemmer af arbejdsområdet kan derefter oprette forbindelse til Snowflake MCP fra tilpassede agenter ved hjælp af deres egne Snowflake-legitimationsoplysninger eller forbinde Snowflake direkte til deres Notion-agent. Trin 1–10 i denne artikel er de samme for begge fremgangsmåder. Fremgangsmåderne adskiller sig fra trin 11 afhængigt af hvilken agent du vil forbinde.

• De tilgængelige værktøjer kan variere afhængigt af din Snowflake-cloudregion.

• Snowflakes administrerede MCP-server er ikke tilgængelig på det kinesiske fastland eller i cloudregioner for offentlige myndigheder.

• Dit Notion-arbejdsområde skal have et Business- eller Enterprise-abonnement.

• Brug Notion i browseren eller computerappen. Funktionen er ikke tilgængelig på mobilen.

• Din virksomhed skal have en Snowflake-konto.

• For at bygge en tilpasset agent skal du have tilladelse til at oprette agenter i dit arbejdsområde.

Før dit team kan forbinde Snowflake til Notion, skal en Snowflake-administrator konfigurere adgangen. Dette er det mest omfattende trin, og du behøver kun at gøre det én gang. Arbejd sammen med administratoren af dit Notion-arbejdsområde: Notion leverer en omdirigerings-URI, og Snowflake leverer et OAuth-klient-id og en klienthemmelighed.

Du skal konfigurere en rolle og et warehouse, oprette den Snowflake-administrerede MCP-server, give den adgang til de nødvendige ressourcer, konfigurere OAuth-omfanget og sikkerhedsintegrationen samt tilføje en netværkspolitik, hvis din organisation kræver det.

Udfyld dette arbejdsark sammen med administratoren for dit Notion-arbejdsområde, før du starter. Medlemmer kan springe dette over og logge ind med deres egne Snowflake-konti, når konfigurationen er fuldført.

Kontoens værtsnavn bruger bindestreger, ikke understregninger. Sørg for, at hvert objektnavn i server-URL'en matcher det tilsvarende objektnavn i Snowflake.

Brug en dedikeret rolle med færrest mulige rettigheder og ét godkendt warehouse, når det er muligt.

Begrænset rolle uden sekundære roller (anbefales). Denne model er lettere at forstå og revidere. Indstil OAUTH_USE_SECONDARY_ROLES = NONE, angiv ALLOWED_ROLES_LIST og brug Notion-omfanget session:role:<mcp_access_role>.

En brugers sekundære standardroller (valgfrit). Brug kun denne model når serveren har brug for rettigheder nedarvet fra hver brugers DEFAULT_SECONDARY_ROLES i Snowflake. Indstil OAUTH_USE_SECONDARY_ROLES = IMPLICIT, udelad ALLOWED_ROLES_LIST og brug et eksplicit scope for den primære rolle. Snowflake tillader ikke IMPLICIT sekundære roller med ALLOWED_ROLES_LIST, så udelad tilladelseslisten når du bruger denne model.

Brug en dedikeret rolle med færrest mulige rettigheder til MCP-serveren, når det er muligt.

Tildel denne rolle gennem din normale proces for identitetsstyring. Hvis Okta eller SCIM administrerer Snowflake-rolletilknytning, må du ikke tilføje brugere manuelt uden for denne proces.

Opret eller vælg en database og et skema, der ejes af det team, som skal køre serveren.

Til forretningsspørgsmål der er underlagt styring, kan du stille en Cortex Agent til rådighed som det værktøj medlemmerne bruger. Den samler semantiske visninger, verificerede forespørgsler, søgning og orkestrering ét sted. En Cortex Agent er valgfri. Hvis du opretter en, skal du bruge specifikationen nedenfor. Hvis du udskifter en eksisterende agent, skal du sikre dig at erstatningen matcher din godkendte specifikation.

Andre understøttede Snowflake MCP-værktøjstyper omfatter CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Giv hvert værktøj et klart navn og en beskrivelse. Forklar hvilke data det dækker, hvor detaljerede resultaterne er og hvornår det skal bruges. Det hjælper agenten med at vælge det rigtige værktøj.

USAGE-privilegiet på en MCP-server lader en rolle oprette forbindelse til serveren og finde dens værktøjer. Det giver ikke rollen adgang til warehouset, agenten, den semantiske visning, Search-tjenesten, den lagrede procedure eller de underliggende data. Giv rollen adgang til hver ressource som serverens værktøjer har brug for.

Giv kun adgang til de yderligere ressourcer som hvert værktøj har brug for. Giv for eksempel SELECT på en godkendt semantisk visning, USAGE på en Cortex Search-tjeneste eller USAGE på en specifik funktion eller procedure. Tildel ikke rollen til PUBLIC og tilføj ikke brede privilegier for nuværende eller fremtidige objekter.

Før du opsætter OAuth, skal du tjekke MCP-serveren og dens tildelinger:

Konfigurer MCP-skemaet til at angive præcis hvilken rolle medlemmerne skal anmode om:

Brug et specifikt rollescope. Brug ikke session:role:all. Snowflake fortolker denne værdi som brugerens primære standardrolle – ikke som adgang til alle roller. Politikker for privilegerede roller kan blokere den. En specifik rolle gør det tydeligt hvilken adgang der anmodes om, og gør den lettere at kontrollere.

Før du kører denne SQL, skal du aftale opsætningen med administratoren for dit Notion-arbejdsområde. Bed vedkommende om at indtaste Snowflake-serverens webadresse i formularen til MCP-opsætning i arbejdsområdet og slå Konfigurer godkendelse manuelt og Brug en OAuth-klient, der deles med arbejdsområdet til. Notion genererer en omdirigerings-URI. Kopiér den, og send den til Snowflake-administratoren. Når Snowflake har oprettet klient-id'et og klienthemmeligheden, kan administratoren færdiggøre opsætningen af forbindelsen.

Brug omdirigerings-URI'en præcis som Notion angiver den. Tilføj ikke en afsluttende skråstreg eller forespørgselsparametre, og ændr ikke værten.

Når du indstiller IS_AGENTIC = TRUE, markeres sessioner oprettet via integrationen som agentsessioner. Snowflakes funktion IS_AGENT_ACTIVATED() returnerer derefter TRUE, så Snowflake kan bruge agentspecifik revisionslogning og styring. Hvis du bruger den valgfrie model med sekundære roller, skal du indstille OAUTH_USE_SECONDARY_ROLES = IMPLICIT og udelade ALLOWED_ROLES_LIST.

Gyldighedsværdien for refresh-token på 7776000 sekunder svarer til 90 dage. Før du bruger den, skal du bekræfte, at den stemmer overens med din organisations politikker for genautorisation og token-rotation. Ved rutinemæssige ændringer bør du undgå CREATE OR REPLACE SECURITY INTEGRATION. Udskiftning af integrationen kan afbryde eksisterende forbindelser.

For at tjekke integrationen uden at vise dens klienthemmelighed skal du køre:

Bekræft, at integrationen er slået til, at omdirigerings-URI'en stemmer præcis overens, at rollen er tilladt og ikke blokeret, at refresh-tokens og PKCE er slået til, og at både autorisations- og token-endpoints bruger Snowflakes offentlige kontovært.

Dette trin er kun nødvendigt, hvis din organisation kræver en netværkspolitik. Bed din sikkerheds- eller netværksansvarlige om at godkende Notions aktuelle intervaller for udgående IP-adresser.

OAuth-integrationen skal tillade begge Notion-stier:

1. API-stien, der håndterer OAuth-callbacks og udveksler autorisationskoder

2. stien til arbejdsområdets kørselsmiljø, der validerer forbindelsen, kører værktøjer og opdaterer tokens

Disse stier kan bruge forskellige udgående IP-adresser fra Notion. Hvis du kun tillader den adresse, der blev brugt under den indledende tokenudveksling, kan login lykkes, men validering eller tokenopdatering mislykkes. Brug Notions aktuelle, godkendte intervaller for udgående IP-adresser. Tilføj ikke en enkeltstående IP-adresse fra en browser eller log til en tilladelsesliste for produktion.

Knyt denne netværkspolitik til OAuth-integrationen, ikke til individuelle brugere. Ændr ikke dine politikker for hele kontoen vedrørende browserlogin, VPN-adgang eller brugeres netværksadgang. Hvis en netværkspolitik blokerer en tokenanmodning, kan Snowflake returnere invalid_client. Denne fejl betyder ikke nødvendigvis, at klient-id'et eller klienthemmeligheden er forkert.

Kør dette i et sikkert Snowflake-arbejdsark. Integrationsnavnet skelner mellem store og små bogstaver og skrives normalt med store bogstaver:

Del klient-id'et og den tilhørende klienthemmelighed med en administrator for dit Notion-arbejdsområde via en godkendt, sikker kanal. Snowflake giver dig to gyldige klienthemmeligheder, så du kan udskifte dem uden nedetid. Indsæt aldrig nogen af klienthemmelighederne i dokumentation, chat, supportsager eller versionsstyring.

Når Snowflake er klar, tilføjer en ejer eller administrator af arbejdsområdet serveren én gang for arbejdsområdet. Medlemmer kan derefter finde den uden at se OAuth-klienthemmeligheden, uanset om de forbinder Snowflake MCP til en tilpasset agent eller til deres egen Notion-agent.

1. Gå til Indstillinger for arbejdsområdet.

2. Vælg Forbindelser → MCP-servere delt med arbejdsområdet.

3. Vælg Ny MCP-server til arbejdsområdet.

Udfyld disse felter, og vælg derefter Tilføj MCP-server:

Når du har gemt, skal du bekræfte at den nye række vises under Delt med dette arbejdsområde, og at Arbejdsområdets OAuth-klient viser Konfigureret.

Hvad denne opsætning gør:

• Hjælper medlemmer med at finde den godkendte server.

• Gemmer OAuth-klienthemmeligheden én gang i Notions krypterede forbindelseslager.

• Sikrer at medlemmer logger ind med den server-URL, klient og de scopes som du har godkendt.

• Opretter ikke en delt Snowflake-session og omgår ikke Snowflakes adgangskontroller.

• Forbinder ikke automatisk hvert medlem. Hver person skal logge ind separat.

Hvis du fjerner denne opsætning, kan nye medlemmer ikke længere finde serveren. Eksisterende forbindelser kan stadig blive vist, så koordinér denne ændring med tilbagekaldelse af Snowflake-rettigheder og fjernelse af eksisterende forbindelser.

Når dine administratorer har Snowflake MCP-forbindelsen klar, er der to måder at bruge den på. Hvis du opsætter dette til et team, skal du starte med 11A. Hvis du bare vil stille dine egne spørgsmål, skal du springe til 11B. Du kan også gøre begge dele. Det er separate forbindelser.

En tilpasset agent giver dit team ét sted at stille spørgsmål om Snowflake-data. Du forbinder Snowflake én gang, tilføjer instruktioner om dine metrikker og tabeller og deler agenten med dit team. Alle der bruger den, skal logge ind på Snowflake med deres egne legitimationsoplysninger, så de kun får svar baseret på data de har adgang til.

Forbinde Snowflake til en tilpasset agent

1. Åbn din tilpassede agent, eller opret en ny.

2. Gå til Indstillinger → Værktøjer og adgang.

3. Vælg Tilføj forbindelse, og vælg derefter Snowflake-serveren mærket Workspace Managed. Vælg ikke Custom MCP server, og indtast ikke server-URL'en manuelt.

4. Log ind på Snowflake i din browser. Din organisations sædvanlige login via Okta eller SSO kan blive vist.

5. Gennemse og godkend den anmodede Snowflake-rolle.

6. Vælg, hvilke værktøjer agenten må bruge. Lad værktøjer, der kan skrive data, og CORTEX_AGENT_RUN være indstillet til at bede om godkendelse, indtil du har testet dem.

7. Vælg Forbind, og bekræft, at forbindelsen vises som Forbundet.

Giv agenten kontekst

Forbindelsen giver agenten adgang til Snowflake. Dine instruktioner fortæller den, hvordan din virksomhed bruger disse data. I agentens instruktioner skal du beskrive, hvilke værktøjer der skal bruges til hvilke typer spørgsmål, hvordan dit team definerer nøgletal, og hvilke tabeller eller semantiske visninger der skal tages udgangspunkt i. Et par verificerede eksempelspørgsmål gør en stor forskel. Se vejledningen til Data Scout-værktøjskassen for at få et færdigt udgangspunkt.

Dele agenten

Del agenten med dit team på samme måde, som du deler enhver anden tilpasset agent. Første gang nogen stiller den et spørgsmål, der kræver Snowflake, bliver de bedt om at logge ind med deres egen Snowflake-konto. De bliver ikke bedt om et klient-id eller en hemmelig nøgle.

Hvis du vil stille dine egne spørgsmål i din egen chat, skal du forbinde Snowflake til din Notion-agent. Du logger ind med din egen Snowflake-konto, så din agent kun får adgang til det, du har tilladelse til at se.

1. Gå til Indstillinger → Notion AI.

2. Under MCP-servere skal du vælge Tilføj MCP-server.

3. Vælg Snowflake-serveren mærket Workspace Managed. Vælg ikke Custom MCP server, og indtast ikke server-URL'en manuelt.

4. Vælg Forbind.

5. Log ind på Snowflake i din browser. Din organisations sædvanlige login via Okta eller SSO kan blive vist.

6. Gennemse og godkend den anmodede Snowflake-rolle.

7. Når din browser spørger, om den skal åbne Notion, skal du vælge Åbn Notion.

8. Bekræft, at serverstatus er Forbundet, ikke Kræver godkendelse.

Når du har oprettet forbindelse, vises Snowflake i Alle kilder → MCP-servere i chatten.

1. Stil et harmløst spørgsmål med et kendt svar, som bør besvares ved hjælp af Snowflake.

2. Bekræft, at agenten bruger Snowflake og returnerer et resultat.

3. Bekræft, at du ikke kan få adgang til data uden for den rolle, du har fået tildelt.

Hvis du har oprettet en tilpasset agent, så bed også et teammedlem med en mere begrænset Snowflake-rolle om at prøve den. Teammedlemmet bør kun kunne se de data, vedkommende selv har adgang til – ikke dine. Det er den hurtigste måde at kontrollere at agenten bruger hver enkelt persons adgang frem for adgangen hos den, der oprettede den.

Bed din Snowflake-administrator om at kontrollere din bruger, rolle, dit virtuelle warehouse og din forespørgselshistorik for at få et grundigere tjek. Et vellykket login bekræfter din identitet, men det bekræfter ikke, at alle rettigheder er korrekte.

Stil agenten et specifikt spørgsmål om dine Snowflake-data. For eksempel:

• "Hvad var vores samlede antal tilmeldinger i sidste måned ifølge Snowflake?"

• "Hvilke var vores ti konti med den højeste omsætning i dette kvartal ifølge Snowflake?"

Med en tilpasset agent kan du normalt udelade "ifølge Snowflake", når instruktionerne gør det klart hvornår agenten skal bruge Snowflake. Med din Notion-agent hjælper det at nævne Snowflake, så agenten vælger den rigtige kilde.

Store anmodninger kan tage længere tid eller overskride tidsgrænsen. Hvis det sker, så stil et mere specifikt spørgsmål eller opdel anmodningen i mindre spørgsmål.

Det meste af tiden forbliver du forbundet uden at gøre noget. Snowflake bruger kortlivede adgangstokens, og Notion opdaterer dem i baggrunden. Et udløbende adgangstoken i sig selv vil ikke afbryde din forbindelse.

Du skal logge ind igen, hvis:

• Dit opdateringstoken udløber, eller en administrator tilbagekalder det

• En administrator erstatter OAuth-integrationen eller klienthemmeligheden

• Din Snowflake-rolle fjernes

• En administrator fjerner arbejdsområdets opsætning eller din forbindelse

• En netværkspolitik blokerer opdatering af tokenet

Med en tilpasset agent er hver persons pålogning separat. Hvis én person bliver bedt om at logge på igen, påvirker det ikke andre, og personen, der byggede agenten, behøver ikke at gøre noget.

Hvis du udskifter klienthemmeligheden: Brug Snowflakes metode med to klienthemmeligheder i stedet for at udskifte integrationen. Hold begge klienthemmeligheder gyldige længe nok til at opdatere og teste arbejdsområdets opsætning, før du udfaser den gamle.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflake-MCP-forbindelsen er ikke på listen. Administratoren for dit arbejdsområde har muligvis ikke tilføjet den endnu, eller dit arbejdsområde begrænser muligvis brugerdefinerede servere. Bed din administrator om hjælp.

• Du bliver bedt om et klient-id eller en klienthemmelighed. Du har sandsynligvis valgt den brugerdefinerede MCP-indstilling. Gå tilbage og vælg Snowflake-serveren markeret med Workspace Managed i stedet.

• Du bliver bedt om at logge på igen. Din Snowflake-session er muligvis udløbet, eller en administrator har muligvis opdateret forbindelsen. Log på Snowflake igen.

• Du åbnede en tilpasset agent, og den bad dig om at logge på Snowflake. Det er forventet første gang. Hver person, der bruger en administreret tilpasset agent, skal logge på med sine egne Snowflake-legitimationsoplysninger.

• Et teammedlem får forskellige resultater fra den samme tilpassede agent. Det er forventeligt. Agenten bruger hver persons Snowflake-adgang, så personer med forskellige roller ser forskellige data.

• Den tilpassede agent fungerer i chatten, men ikke efter en tidsplan. Planlagte og udløste kørsler har ingen person der er logget ind, så de kan endnu ikke bruge Snowflake med login for hver enkelt person.

• Du loggede ind, men der kan ikke oprettes forbindelse, eller værktøjerne fejler. Dit login bekræfter din identitet, men din adgang afhænger stadig af dine Snowflake-rettigheder. Bed din Snowflake-administrator om at kontrollere at din rolle har adgang til serveren, det virtuelle warehouse, agenten og dataene.

• Agenten kan ikke finde en tabel. Agenten kan kun få adgang til de data din Snowflake-konto har adgang til. Tjek dine Snowflake-tilladelser, og skriv tabelnavnet i dit spørgsmål.

• En anmodning tager for lang tid og afbrydes. Stil et mere præcist spørgsmål, eller del din anmodning op i mindre spørgsmål.

Disse fejl stammer normalt fra Snowflake-indstillinger, ikke Notion. Del dem med din Snowflake-administrator.

• Server-URL'en ser ud til at være fordoblet, som https://https%3A... Adressen blev indsat med et ekstra https:// foran. Ret det, så URL'en kun starter med ét https://.

• Du ser "This server does not support OAuth authentication." Sikkerhedsintegrationen er ikke sat op til OAuth, eller server-URL'en er forkert. Bed din Snowflake-administrator om at tjekke OAuth-sikkerhedsintegrationen og server-URL'en.

• Du ser invalid_client når du logger ind eller opdaterer forbindelsen. Klient-id'et eller klienthemmeligheden er forkert, eller klienthemmeligheden er blevet ændret. Bed din administrator om det aktuelle klient-id og den aktuelle klienthemmelighed.

• Det lykkes at logge ind, men forbindelsen svigter straks efter. Din rolle har muligvis ikke adgang til serveren, eller en rolle eller netværksregel blokerer sessionen. Bed din administrator om at tjekke dine rettigheder og politikker.

• Du ser "The role ALL requested has been explicitly blocked." Forbindelsen anmodede om alle roller på én gang (session:role:all), hvilket er blokeret. Brug én specifik rolle i stedet, såsom session:role:analyst, med dit rigtige rollenavn.

• Du ser en omdirigeringsfejl (fejl 390307). Den omdirigerings-URL som er gemt i Snowflake, matcher ikke den Notion bruger. Bed din administrator om at angive præcis den omdirigerings-URL som Notion bruger, i sikkerhedsintegrationen.

• Du ser fejl 390311 om en ugyldig kodeudfordring. Dette er et PKCE-matchningsproblem. Bed din administrator om at bekræfte, at OAUTH_ENFORCE_PKCE er indstillet korrekt på sikkerhedsintegrationen.

• Du er forbundet, men ingen værktøjer vises. Din rolle mangler muligvis USAGE på MCP-serveren. Bed din administrator om at bekræfte rettigheden, og kør derefter DESCRIBE MCP SERVER for at tjekke opsætningen.

• Du kan få adgang til mere eller mindre data, end du forventede. Sekundære roller ændrer, hvad din session kan se. Tjek hvilke roller der er aktive i din session sammen med din administrator.

• Det virkede før, men nu virker det ikke for nogen efter en ændring af klienthemmeligheden. Klienthemmeligheden er blevet udskiftet, så den gemte forbindelse er forældet. Bed din administrator om den nye klienthemmelighed, og opret derefter forbindelse igen.

• Det virkede før, og nu fejler det kun for dig. En rolle, rettighed eller politik kan være ændret, eller din session er udløbet. Log ind igen, og bed derefter din administrator om at bekræfte, at din adgang ikke er ændret.

• Dit konto-id afvises. Brug formatet organization-account med en bindestreg, f.eks. myorg-myaccount, og ikke punktummer.

• En PrivateLink-konto kan ikke oprette forbindelse. PrivateLink-konti kræver ekstra netværksopsætning. Spørg din administrator, om PrivateLink tillader Notion-forbindelsen.

• Snowflake er ikke tilgængelig i planlagte kørsler eller kørsler der udløses af en hændelse. Ingen er logget ind under de kørsler, så de kan endnu ikke bruge login for hver enkelt person. Kør din anmodning i chatten i stedet.

• Du ser oauth_security_error efter at have logget ind via browseren. En netværkspolitik på kontoniveau blokerer muligvis anmodningen. Din administrator kan bekræfte dette ved at køre:

• Det ser ud til, at login fungerer, men du får en rollefejl, selv med det rigtige scope. Din standardrolle er muligvis blokeret, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Din administrator kan tjekke og rette det:

Disse kommandoer hjælper din administrator med at tjekke opsætningen uden at ændre noget. Kør dem i Snowflake.

Brug disse Snowflake-vejledninger til at fuldføre opsætningen:

• Snowflake-administreret MCP-server

• Oprette en sikkerhedsintegration til Snowflake OAuth

• Snowflake OAuth til brugerdefinerede klienter

• Oversigt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Tilpassede agenter

• MCP-forbindelser til Tilpassede agenter

• Forbinde MCP-servere med din Notion-agent

• Bedste fremgangsmåder til sikre agentforbindelser