Konfigurere Snowflake MCP for Notion

De skreddersydde agentene og Notion-agenten din kan koble til Snowflake via en MCP (Model Context Protocol)-server som Snowflake drifter. Når serveren er satt opp, kan du spørre agenten om dataene i Snowflake-datavarehuset og få svar direkte i Notion.

Oppsettet skjer i etapper, og ulike personer har ansvar for hver av dem:

• En Snowflake-administrator setter opp rollen, datavarehuset og den Snowflake-administrerte MCP-serveren.

• En eier eller administrator av et Notion-arbeidsområde konfigurerer MCP-tilkoblingen til Snowflake for arbeidsområdet.

• Medlemmer av arbeidsområdet kan deretter koble til Snowflake MCP fra skreddersydde agenter ved å bruke sin egen Snowflake-påloggingsinformasjon, eller koble Snowflake direkte til Notion-agenten sin. Trinn 1–10 i denne artikkelen er like for begge fremgangsmåtene. Fremgangsmåtene skiller lag ved trinn 11, avhengig av hvilken agent du vil koble til.

• Hvilke verktøy du kan bruke, avhenger av Snowflake-skyregionen din.

• Snowflakes administrerte MCP-server er ikke tilgjengelig i Fastlands-Kina eller i regioner for offentlig sektor.

• Arbeidsområdet ditt i Notion må ha et Business- eller Enterprise-abonnement.

• Bruk Notion på nettet eller i skrivebordsappen. Denne funksjonen er ikke tilgjengelig på mobil.

• Bedriften din trenger en Snowflake-konto.

• For å bygge en skreddersydd agent må du ha tillatelse til å opprette agenter i arbeidsområdet ditt.

Før teamet ditt kan koble Snowflake til Notion, må en Snowflake-administrator sette opp tilgang. Dette er det mest omfattende trinnet, og du trenger bare å gjøre det én gang. Samarbeid med administratoren for Notion-arbeidsområdet ditt: Notion oppgir en omdirigerings-URI, og Snowflake oppgir en OAuth-klient-ID og -hemmelighet.

Du skal sette opp en rolle og et datavarehus, opprette den Snowflake-administrerte MCP-serveren, gi den tilgang til ressursene den trenger, konfigurere OAuth-omfanget og sikkerhetsintegrasjonen og legge til en nettverkspolicy hvis organisasjonen krever det.

Fyll ut dette arbeidsarket sammen med administratoren for Notion-arbeidsområdet ditt før du starter. Medlemmer kan hoppe over dette og logge på med sine egne Snowflake-kontoer når oppsettet er fullført.

Kontohostnavnet bruker bindestreker, ikke understreker. Sørg for at hvert objektnavn i server-URL-en samsvarer med det tilsvarende objektnavnet i Snowflake.

Bruk en egen rolle med bare nødvendige rettigheter og ett godkjent datavarehus hvis mulig.

Begrenset rolle uten sekundære roller (anbefalt). Denne modellen er enklere å forstå og kontrollere. Sett OAUTH_USE_SECONDARY_ROLES = NONE, angi ALLOWED_ROLES_LIST og bruk Notion-omfanget session:role:<mcp_access_role>.

En brukers standard sekundære roller (valgfritt). Bruk denne modellen bare når serveren trenger rettigheter fra Snowflake-innstillingen DEFAULT_SECONDARY_ROLES for hver bruker. Sett OAUTH_USE_SECONDARY_ROLES = IMPLICIT, utelat ALLOWED_ROLES_LIST og angi omfanget for primærrollen. Snowflake tillater ikke sekundære roller av typen IMPLICIT sammen med ALLOWED_ROLES_LIST. Derfor må du utelate listen over tillatte roller når du bruker denne modellen.

Bruk en egen rolle med bare nødvendige rettigheter for MCP-serveren hvis mulig.

Tildel denne rollen gjennom din vanlige prosess for identitetsbehandling. Hvis Okta eller SCIM administrerer medlemskap i Snowflake-roller, må du ikke legge til brukere manuelt utenfor denne prosessen.

Opprett eller velg en database og et skjema som eies av teamet som skal kjøre serveren.

For spørsmål om bedriftens data med styrt tilgang kan du gjøre en Cortex Agent tilgjengelig som verktøy for medlemmene. Den samler semantiske visninger, verifiserte spørringer, Cortex Search og orkestrering på ett sted. Det er valgfritt å bruke en Cortex Agent. Hvis du oppretter en, bruker du spesifikasjonen nedenfor. Hvis du erstatter en eksisterende agent, må du sørge for at den nye følger den godkjente spesifikasjonen.

Andre støttede Snowflake MCP-verktøytyper inkluderer CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Gi hvert verktøy et tydelig navn og en beskrivelse. Forklar hvilke data det dekker, hvor detaljerte resultatene er, og når det skal brukes. Dette hjelper agenten med å velge riktig verktøy.

USAGE-privilegiet på en MCP-server lar en rolle koble til serveren og se hvilke verktøy som er tilgjengelige. Det gir ikke rollen tilgang til datavarehuset, agenten, den semantiske visningen, Cortex Search-tjenesten, den lagrede prosedyren eller underliggende data. Gi rollen tilgang til hver ressurs som serverens verktøy trenger.

Gi tilgang kun til de ekstra ressursene hvert verktøy trenger. Gi for eksempel SELECT på en godkjent semantisk visning, USAGE på en Cortex Search-tjeneste eller USAGE på en bestemt funksjon eller prosedyre. Ikke gi rollen til PUBLIC eller tildel omfattende rettigheter for eksisterende eller fremtidige objekter.

Før du setter opp OAuth, sjekk MCP-serveren og rettighetene den er tildelt:

Konfigurer MCP-skjemaet slik at det oppgir nøyaktig hvilken rolle medlemmene skal be om:

Angi et bestemt rolleomfang. Ikke bruk session:role:all. Snowflake tolker denne verdien som brukerens standard primærrolle, ikke som tilgang til alle roller. Retningslinjer for privilegerte roller kan også blokkere den. Når du angir en bestemt rolle, blir det lettere å se hvilken tilgang du ber om, og kontrollere den.

Avklar dette med administratoren for Notion-arbeidsområdet før du kjører SQL-koden. Be administratoren skrive inn URL-en til Snowflake-serveren i skjemaet for MCP-oppsett i arbeidsområdet og slå på Manually configure authentication og Use a workspace-shared OAuth client. Notion genererer en omdirigerings-URI. Kopier den og send den til Snowflake-administratoren. Når Snowflake har opprettet klient-ID-en og klienthemmeligheten, kan administratoren for arbeidsområdet fullføre oppsettet av tilkoblingen.

Bruk omdirigerings-URI-en nøyaktig slik Notion oppgir den. Ikke legg til en avsluttende skråstrek eller spørringsparametere, og ikke endre vertsnavnet.

Når du angir IS_AGENTIC = TRUE, merkes økter som opprettes gjennom integrasjonen, som agentøkter. Funksjonen IS_AGENT_ACTIVATED() i Snowflake returnerer da TRUE. Det gjør at Snowflake kan bruke egen revisjonslogging og styring for agenter. Hvis du bruker den valgfrie modellen med sekundærroller, angir du OAUTH_USE_SECONDARY_ROLES = IMPLICIT og utelater ALLOWED_ROLES_LIST.

Verdien 7776000 sekunder gir oppdateringstokener en gyldighet på 90 dager. Sjekk at dette samsvarer med organisasjonens retningslinjer for ny autorisering og rotasjon av tokener før du bruker verdien. Unngå CREATE OR REPLACE SECURITY INTEGRATION ved vanlige endringer. Hvis du erstatter integrasjonen, kan eksisterende tilkoblinger bli avbrutt.

Kjør dette for å kontrollere integrasjonen uten å vise hemmeligheten:

Kontroller at integrasjonen er slått på, at omdirigerings-URI-en stemmer nøyaktig, at rollen er tillatt og ikke blokkert, og at oppdateringstokener og PKCE er slått på. Sjekk også at endepunktene for autorisering og tokener bruker den offentlige verten for Snowflake-kontoen.

Dette trinnet er bare nødvendig hvis organisasjonen krever en nettverkspolicy. Be den ansvarlige for sikkerhet eller nettverk om å godkjenne IP-adresseområdene Notion bruker for utgående trafikk.

OAuth-integrasjonen må tillate begge Notion-stiene:

1. API-stien som håndterer OAuth-tilbakeringinger og utveksler autorisasjonskoder

2. stien for arbeidsområdets kjøremiljø, som validerer tilkoblingen, kjører verktøy og oppdaterer tokener

Disse stiene kan bruke ulike IP-adresser for utgående trafikk fra Notion. Hvis du bare tillater adressen som ble brukt ved den første tokenutvekslingen, kan påloggingen lykkes selv om validering eller oppdatering av tokener mislykkes. Bruk de gjeldende, godkjente IP-adresseområdene for utgående trafikk fra Notion. Ikke legg til en enkelt IP-adresse hentet fra en nettleser eller logg i tillatelseslisten for produksjon.

Knytt nettverkspolicyen til OAuth-integrasjonen, ikke til enkeltbrukere. Ikke endre policyer som gjelder hele kontoen, for pålogging i nettleser, VPN-tilgang eller brukernes nettverkstilgang. Hvis en nettverkspolicy blokkerer en forespørsel om token, kan Snowflake returnere invalid_client. Denne feilen betyr ikke nødvendigvis at klient-ID-en eller hemmeligheten er feil.

Kjør dette i et sikkert Snowflake-arbeidsark. Integrasjonsnavnet skiller mellom store og små bokstaver og er vanligvis med store bokstaver:

Del klient-ID-en og den tilhørende hemmeligheten med administratoren for Notion-arbeidsområdet ved hjelp av en godkjent sikker kanal. Snowflake tilbyr to gyldige hemmeligheter, slik at du kan rotere dem uten nedetid. Lim aldri inn noen av hemmelighetene i dokumentasjon, chat, supportsaker eller versjonskontroll.

Når Snowflake er klar, legger en eier eller administrator av arbeidsområdet til MCP-serveren én gang for arbeidsområdet. Medlemmer kan deretter finne den uten å se OAuth-klienthemmeligheten, enten de kobler Snowflake MCP til en skreddersydd agent eller til sin egen Notion-agent.

1. Åpne Settings for arbeidsområdet.

2. Gå via Connections til Workspace shared MCPs.

3. Opprett en ny MCP-server for arbeidsområdet via New workspace MCP.

Fyll ut feltene, og legg til serveren med Add MCP server:

Når du har lagret, kontrollerer du at den nye raden vises under Shared with this workspace, og at Workspace OAuth client viser Configured.

Hva dette oppsettet gjør:

• Hjelper medlemmer med å finne den godkjente serveren.

• Lagrer OAuth-klienthemmeligheten én gang i Notions krypterte lagring for tilkoblinger.

• Sikrer at medlemmer logger på med server-URL-en, klienten og tilgangsområdene du har godkjent.

• Oppretter ikke en delt Snowflake-økt og omgår ikke Snowflakes tilgangskontroller.

• Kobler ikke til alle medlemmer automatisk. Hver person må logge på separat.

Hvis du fjerner dette oppsettet, kan nye medlemmer ikke lenger finne serveren. Eksisterende tilkoblinger kan fortsatt vises. Samordne derfor endringen med tilbakekalling av tilgangstillatelser i Snowflake og fjerning av eksisterende tilkoblinger.

Når administratorene har gjort Snowflake MCP-tilkoblingen klar, kan du bruke den på to måter. Setter du den opp for et team, begynner du med 11A. Vil du bare stille dine egne spørsmål, går du til 11B. Du kan også gjøre begge deler – det er separate tilkoblinger.

Med en skreddersydd agent får teamet ett sted å stille spørsmål om Snowflake-data. Koble til Snowflake én gang, legg til instruksjoner om måltall og tabeller, og del agenten med teamet. Alle som bruker den, må logge på Snowflake med sin egen påloggingsinformasjon. Dermed får hver enkelt bare svar basert på data de har tilgang til.

Koble Snowflake til en skreddersydd agent

1. Åpne den skreddersydde agenten din, eller opprett en ny.

2. Gå til Innstillinger → Verktøy og tilgang.

3. Velg Legg til tilkobling, og velg deretter Snowflake-serveren merket Administrert av arbeidsområdet. Ikke velg Tilpasset MCP-server eller skriv inn server-URL-en manuelt.

4. Logg på Snowflake i nettleseren din. Organisasjonens vanlige Okta- eller SSO-pålogging kan dukke opp.

5. Se gjennom og godkjenn Snowflake-rollen du har blitt bedt om å bruke.

6. Velg hvilke verktøy agenten kan bruke. La verktøy som kan skrive og CORTEX_AGENT_RUN være satt til å be om godkjenning til du har testet dem.

7. Velg Koble til, og bekreft at tilkoblingen vises som Tilkoblet.

Gi agenten kontekst

Tilkoblingen gir agenten tilgang til Snowflake. Instruksjonene dine forteller agenten hvordan bedriften bruker dataene. Beskriv hvilke verktøy agenten skal bruke til ulike spørsmål, hvordan teamet definerer nøkkeltall, og hvilke tabeller eller semantiske visninger den skal starte med. Noen få spørsmål med verifiserte svar hjelper mye. Se veiledningen for Data Scout-verktøysettet hvis du vil ha et ferdig utgangspunkt.

Del agenten

Del agenten med teamet ditt på samme måte som du deler en hvilken som helst skreddersydd agent. Første gang noen stiller den et spørsmål som krever Snowflake, blir de bedt om å logge på med sin egen Snowflake-konto. De blir ikke bedt om en klient-ID eller klienthemmelighet.

Hvis du vil stille dine egne spørsmål i din egen chat, kobler du Snowflake til din Notion-agent. Du logger på med din egen Snowflake-konto, slik at agenten din bare får tilgang til det du har tillatelse til å se.

1. Gå til Innstillinger → Notion KI.

2. Under MCP-servere velger du Legg til MCP-server.

3. Velg Snowflake-serveren merket Administrert av arbeidsområdet. Ikke velg Tilpasset MCP-server eller skriv inn server-URL-en manuelt.

4. Velg Koble til.

5. Logg på Snowflake i nettleseren din. Organisasjonens vanlige Okta- eller SSO-pålogging kan dukke opp.

6. Gjennomgå og godkjenn den forespurte Snowflake-rollen.

7. Når nettleseren spør om du vil åpne Notion, velger du Åpne Notion.

8. Bekreft at serverstatusen er Tilkoblet, ikke Krever autentisering.

Etter at du har koblet til, vises Snowflake under Alle kilder → MCP-servere i chatten.

1. Still et ufarlig spørsmål med et kjent svar som agenten bør bruke Snowflake til å svare på.

2. Bekreft at agenten bruker Snowflake og returnerer et resultat.

3. Bekreft at du ikke kan få tilgang til data utenfor rollen du har fått tildelt.

Hvis du setter opp en skreddersydd agent, bør du også be en teamkollega med en mer begrenset Snowflake-rolle om å prøve den. Teamkollegaen skal bare se data vedkommende selv har tilgang til, ikke dine. Slik kan du raskt sjekke at agenten bruker tilgangen til hver enkelt, ikke tilgangen til den som opprettet agenten.

Be Snowflake-administratoren om å sjekke brukeren, rollen, datavarehuset og spørringshistorikken din hvis du vil undersøke nærmere. En vellykket pålogging bekrefter hvem du er, men ikke at alle tillatelser er riktige.

Still agenten et spesifikt spørsmål om Snowflake-dataene dine. For eksempel:

• «Hvor mange registreringer hadde vi forrige måned, ifølge Snowflake?»

• «Hvilke ti kontoer hadde høyest omsetning dette kvartalet, ifølge Snowflake?»

Med en skreddersydd agent kan du vanligvis droppe «ifølge Snowflake» når instruksjonene gjør det klart når agenten skal bruke Snowflake. Med Notion-agenten hjelper det å nevne Snowflake, slik at agenten velger riktig kilde.

Store forespørsler kan ta lengre tid eller få tidsavbrudd. Hvis det skjer, still et mer avgrenset spørsmål eller del opp forespørselen i mindre spørsmål.

Som regel forblir du tilkoblet uten å gjøre noe. Snowflake bruker tilgangstokener med kort levetid, og Notion oppdaterer dem i bakgrunnen. Et utløpende tilgangstoken i seg selv vil ikke koble deg fra.

Du må logge inn på nytt hvis:

• Oppdateringstokenet ditt utløper eller en administrator tilbakekaller det

• En administrator erstatter OAuth-integrasjonen eller klienthemmeligheten

• Snowflake-rollen din fjernes

• En administrator fjerner arbeidsområdeoppsettet eller tilkoblingen din

• En nettverkspolicy blokkerer token-oppdateringen

Med en skreddersydd agent er hver persons pålogging separat. Hvis én person blir bedt om å logge på igjen, påvirker det ikke noen andre, og personen som bygde agenten trenger ikke å gjøre noe.

Hvis du bytter ut klienthemmeligheten: Bruk Snowflakes metode for å bytte mellom to hemmeligheter i stedet for å erstatte integrasjonen. La begge hemmelighetene være gyldige lenge nok til å oppdatere og teste arbeidsområdeoppsettet før du slutter å bruke den gamle.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflake MCP-tilkoblingen er ikke oppført. Arbeidsområdeadministratoren din har kanskje ikke lagt den til ennå, eller arbeidsområdet ditt kan begrense tilpassede servere. Be administratoren din om hjelp.

• Du blir bedt om en klient-ID eller klienthemmelighet. Du valgte sannsynligvis alternativet for en tilpasset MCP-server. Gå tilbake og velg Snowflake-serveren merket Administrert av arbeidsområdet i stedet.

• Du blir bedt om å logge på igjen. Snowflake-økten din kan ha utløpt, eller en administrator kan ha oppdatert tilkoblingen. Logg på Snowflake igjen.

• Du åpnet en skreddersydd agent, og den ba deg logge på Snowflake. Det er forventet første gang. Hver person som bruker en administrert skreddersydd agent, må logge på med sine egne påloggingsopplysninger for Snowflake.

• En teamkollega får andre resultater fra den samme skreddersydde agenten. Det er som forventet. Agenten bruker Snowflake-tilgangen til hver enkelt, så personer med ulike roller ser ulike data.

• Den skreddersydde agenten fungerer i chat, men ikke etter en tidsplan. Planlagte og utløste kjøringer har ingen pålogget person, så de kan foreløpig ikke bruke Snowflake med pålogging per person.

• Du har logget på, men får ikke koblet til, eller verktøyene virker ikke. Påloggingen bekrefter hvem du er, men tilgangen avhenger fortsatt av tillatelsene dine i Snowflake. Be Snowflake-administratoren sjekke at rollen din gir tilgang til serveren, datavarehuset, agenten og dataene.

• Agenten finner ikke en tabell. Agenten har bare tilgang til data som Snowflake-kontoen din har tilgang til. Sjekk tillatelsene dine i Snowflake, og oppgi tabellnavnet i spørsmålet.

• En forespørsel får tidsavbrudd. Still et mer konkret spørsmål, eller del forespørselen opp i mindre spørsmål.

Disse feilene skyldes vanligvis innstillinger i Snowflake, ikke Notion. Del dem med Snowflake-administratoren din.

• Server-URL-en ser ut til å være doblet, som https://https%3A... Adressen ble limt inn med en ekstra https:// foran. Rett den slik at URL-en starter med bare én https://.

• Du ser «This server does not support OAuth authentication.» Sikkerhetsintegrasjonen er ikke satt opp for OAuth, eller server-URL-en er feil. Be Snowflake-administratoren din om å sjekke OAuth-sikkerhetsintegrasjonen og server-URL-en.

• Du ser invalid_client mens du logger på eller fornyer økten. Klient-ID-en eller klienthemmeligheten er feil, eller klienthemmeligheten er endret. Be administratoren din om gjeldende klient-ID og klienthemmelighet.

• Innlogging fungerer, men feiler umiddelbart etterpå. Rollen din har kanskje ikke tilgang til serveren, eller en rolle eller nettverksregel blokkerer økten. Be administratoren din om å sjekke tilgangene og retningslinjene dine.

• Du ser «The role ALL requested has been explicitly blocked.» Tilkoblingen ba om alle roller samtidig (session:role:all), noe som er blokkert. Bruk én bestemt rolle i stedet, som session:role:analyst, med ditt faktiske rollenavn.

• Du ser en omdirigeringsfeil (feil 390307). Omdirigerings-URL-en som er lagret i Snowflake, samsvarer ikke med den Notion bruker. Be administratoren din om å sette omdirigerings-URL-en i sikkerhetsintegrasjonen til nøyaktig den URL-en Notion bruker.

• Du ser feil 390311 om en ugyldig kodeutfordring. Dette er en PKCE-samsvarsfeil. Be administratoren din om å bekrefte at OAUTH_ENFORCE_PKCE er satt riktig på sikkerhetsintegrasjonen.

• Du er tilkoblet, men ingen verktøy vises. Rollen din mangler kanskje USAGE på MCP-serveren. Be administratoren din om å bekrefte tilgangen, og kjør deretter DESCRIBE MCP SERVER for å sjekke oppsettet.

• Du kan nå mer eller mindre data enn forventet. Sekundære roller endrer hva økten din kan se. Sjekk hvilke roller som er aktive i økten din sammen med administratoren din.

• Det fungerte før, men nå feiler det for alle etter at en hemmelighet ble endret. Klienthemmeligheten ble byttet ut, så den lagrede tilkoblingen er utdatert. Be administratoren din om den nye klienthemmeligheten, og koble til på nytt.

• Det fungerte før, men nå fungerer det ikke for deg. En rolle, tilgang eller regel kan ha blitt endret, eller økten din kan ha utløpt. Logg på igjen, og be administratoren din sjekke at tilgangen din ikke er endret.

• Kontoidentifikatoren din blir avvist. Bruk organisasjon-konto-formatet med bindestrek, som myorg-myaccount, ikke punktum.

• En PrivateLink-konto kan ikke koble til. PrivateLink-kontoer krever ekstra nettverksoppsett. Spør administratoren din om PrivateLink tillater Notion-tilkoblingen.

• Snowflake er ikke tilgjengelig i planlagte eller utløste kjøringer. Ingen er logget på under disse kjøringene, så de kan ennå ikke bruke pålogging for hver bruker. Kjør forespørselen i chatten i stedet.

• Du ser oauth_security_error etter å ha logget inn via nettleseren. En nettverkspolicy på kontonivå kan blokkere forespørselen. Administratoren din kan bekrefte dette ved å kjøre:

• Innlogging ser ut til å fungere, men du får en rollefeil, selv med riktig scope. Standardrollen din kan være blokkert, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Administratoren din kan sjekke og fikse dette:

Disse kommandoene hjelper administratoren din å sjekke oppsettet uten å endre noe. Kjør dem i Snowflake.

Bruk disse Snowflake-veiledningene for å fullføre oppsettet:

• Snowflake-administrert MCP-server

• Opprette en OAuth-sikkerhetsintegrasjon i Snowflake

• Snowflake OAuth for tilpassede klienter

• Oversikt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Skreddersydde agenter

• MCP-tilkoblinger for skreddersydde agenter

• Koble MCP-servere til Notion-agenten din

• Beste praksis for sikkerhet ved agenttilkoblinger