Configura el MCP de Snowflake para Notion

Tus Agentes Personalizados y tu Agente de Notion pueden conectarse a Snowflake a través de un servidor MCP (protocolo de contexto de modelo) que ejecuta Snowflake. Una vez configurado, puedes preguntar a tu agente sobre los datos de tu almacén de Snowflake y obtener respuestas directamente en Notion.

La configuración se realiza por etapas y diferentes personas se encargan de cada una:

• Un administrador de Snowflake configura el rol, el almacén y el servidor MCP gestionado por Snowflake.

• Un propietario o administrador del espacio de trabajo de Notion configura la conexión MCP de Snowflake para el espacio de trabajo.

• Los miembros del espacio de trabajo pueden conectarse al MCP de Snowflake desde Agentes Personalizados con sus propias credenciales de Snowflake, o conectar Snowflake directamente a su Agente de Notion. Los pasos del 1 al 10 de este artículo son iguales en ambos casos. A partir del paso 11, las instrucciones varían según el agente que quieras conectar.

• Las herramientas disponibles pueden variar según tu región de la nube de Snowflake.

• El servidor MCP gestionado de Snowflake no está disponible en China continental ni en regiones gubernamentales.

• Tu espacio de trabajo de Notion debe tener el plan Business o el plan Enterprise.

• Utiliza Notion en la web o en el escritorio. Esta función no está disponible en dispositivos móviles.

• Tu empresa necesita una cuenta de Snowflake.

• Para crear un Agente Personalizado, necesitas permiso para crear agentes en tu espacio de trabajo.

Antes de que tu equipo pueda conectar Snowflake a Notion, un administrador de Snowflake debe configurar el acceso. Este es el paso más complejo y solo necesitas realizarlo una vez. Colabora con el administrador de tu espacio de trabajo de Notion: Notion proporciona un URI de redirección y Snowflake proporciona un ID de cliente y un secreto de OAuth.

Configurarás un rol y un almacén, crearás el servidor MCP gestionado por Snowflake, le concederás acceso a los recursos que necesita, configurarás el ámbito de OAuth y la integración de seguridad, y añadirás una política de red si tu organización lo requiere.

Rellena esta hoja de trabajo con el administrador de tu espacio de trabajo de Notion antes de empezar. Los miembros pueden omitirla e iniciar sesión con sus propias cuentas de Snowflake una vez completada la configuración.

El nombre de host de la cuenta utiliza guiones, no guiones bajos. Asegúrate de que cada nombre de objeto de la URL del servidor coincida con el nombre correspondiente en Snowflake.

Utiliza un rol específico con los privilegios mínimos y un almacén aprobado siempre que sea posible.

Rol restringido sin roles secundarios (recomendado). Este modelo es más fácil de entender y auditar. Establece OAUTH_USE_SECONDARY_ROLES = NONE, especifica ALLOWED_ROLES_LIST y utiliza el ámbito de Notion session:role:<mcp_access_role>.

Roles secundarios predeterminados de un usuario (opcional). Utiliza este modelo solo cuando el servidor necesite privilegios heredados de los DEFAULT_SECONDARY_ROLES de Snowflake de cada usuario. Establece OAUTH_USE_SECONDARY_ROLES = IMPLICIT, omite ALLOWED_ROLES_LIST y utiliza un ámbito de rol principal explícito. Snowflake no permite roles secundarios IMPLICIT con ALLOWED_ROLES_LIST, así que omite la lista de permitidos cuando utilices este modelo.

Utiliza un rol específico con los privilegios mínimos para el servidor MCP siempre que sea posible.

Concede este rol mediante el proceso habitual de gestión de identidades de tu organización. Si Okta o SCIM gestionan la pertenencia a los roles de Snowflake, no añadas usuarios manualmente al margen de ese proceso.

Crea o elige una base de datos y un esquema que pertenezcan al equipo que ejecutará el servidor.

Para responder preguntas sobre datos empresariales sujetos a controles, puedes ofrecer un Cortex Agent como herramienta a los miembros. Reúne las vistas semánticas, las consultas verificadas, la búsqueda y la orquestación en un solo lugar. El Cortex Agent es opcional. Si creas uno, utiliza la especificación siguiente. Si sustituyes un agente existente, asegúrate de que el nuevo cumpla la especificación aprobada.

Otros tipos de herramientas MCP de Snowflake compatibles incluyen CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC y SYSTEM_EXECUTE_SQL.

Da a cada herramienta un nombre y una descripción claros. Explica qué datos abarca, qué nivel de detalle ofrecen sus resultados y cuándo usarla. Así ayudas al agente a elegir la herramienta adecuada.

El privilegio USAGE en un servidor MCP permite a un rol conectarse al servidor y descubrir sus herramientas. No otorga al rol acceso al almacén, al agente, a la vista semántica, al servicio de búsqueda, al procedimiento almacenado ni a los datos subyacentes. Concede al rol acceso a cada recurso que necesiten las herramientas del servidor.

Concede acceso solo a los recursos adicionales que necesite cada herramienta. Por ejemplo, concede SELECT en una vista semántica aprobada, USAGE en un servicio de Cortex Search o USAGE en una función o procedimiento específico. No concedas el rol a PUBLIC ni añadas privilegios amplios para objetos actuales o futuros.

Antes de configurar OAuth, comprueba el servidor MCP y los permisos concedidos:

Configura el esquema MCP para que indique el rol exacto que deben solicitar los miembros:

Utiliza un ámbito de rol explícito. No utilices session:role:all. Snowflake interpreta ese valor como el rol principal predeterminado del usuario, no como acceso a todos los roles, y las políticas de los roles privilegiados pueden bloquearlo. Un rol explícito deja claro qué acceso se solicita y facilita su comprobación.

Antes de ejecutar este SQL, coordínate con el administrador de tu espacio de trabajo de Notion. Pídele que introduzca la URL del servidor de Snowflake en el formulario de configuración de MCP del espacio de trabajo y active Configurar manualmente la autenticación y Usar un cliente OAuth compartido en el espacio de trabajo. Notion generará un URI de redirección. Cópialo y envíaselo al administrador de Snowflake. Una vez que Snowflake cree el ID de cliente y el secreto, el administrador del espacio de trabajo podrá terminar de configurar la conexión.

Utiliza el URI de redirección exactamente como lo proporciona Notion. No añadas una barra al final ni parámetros de consulta, y no cambies el host.

Establecer IS_AGENTIC = TRUE marca las sesiones creadas mediante esta integración como sesiones de agente. La función IS_AGENT_ACTIVATED() de Snowflake devuelve entonces TRUE, lo que permite aplicar auditorías y políticas de gobernanza específicas para agentes. Si utilizas el modelo opcional de roles secundarios, establece OAUTH_USE_SECONDARY_ROLES = IMPLICIT y omite ALLOWED_ROLES_LIST.

El periodo de validez del token de actualización de 7776000 segundos equivale a 90 días. Antes de usarlo, confirma que se ajusta a las políticas de reautorización y rotación de tokens de tu organización. Para cambios habituales, evita CREATE OR REPLACE SECURITY INTEGRATION. Sustituir la integración puede interrumpir las conexiones existentes.

Para comprobar la integración sin mostrar su secreto, ejecuta:

Confirma que la integración está activada, que el URI de redirección coincide exactamente, que el rol está permitido y no bloqueado, que los tokens de actualización y PKCE están activados y que tanto el punto final de autorización como el de token utilizan el host público de la cuenta de Snowflake.

Este paso solo es necesario si tu organización requiere una política de red. Pide a tu responsable de seguridad o de red que apruebe los rangos de salida actuales de Notion.

La integración OAuth debe permitir ambas rutas de Notion:

1. la ruta de la API que gestiona las devoluciones de llamada de OAuth e intercambia los códigos de autorización

2. la ruta del entorno de ejecución del espacio de trabajo que valida la conexión, ejecuta herramientas y actualiza los tokens

Estas rutas pueden utilizar diferentes direcciones de salida de Notion. Si solo permites la dirección utilizada durante el intercambio inicial de tokens, el inicio de sesión puede tener éxito, pero la validación o la actualización del token pueden fallar. Utiliza los rangos de salida actuales y aprobados de Notion. No añadas a una lista de permitidos de producción una dirección IP obtenida puntualmente de un navegador o un registro.

Adjunta esta política de red a la integración de OAuth, no a usuarios individuales. No cambies tus políticas de toda la cuenta para el inicio de sesión en el navegador, el acceso VPN o el acceso de red de usuario. Si una política de red bloquea una solicitud de token, Snowflake puede devolver invalid_client. Este error no significa necesariamente que el ID de cliente o el secreto sean incorrectos.

Ejecuta esto en una hoja de trabajo segura de Snowflake. El nombre de la integración distingue entre mayúsculas y minúsculas y suele estar en mayúsculas:

Comparte el ID de cliente y su secreto correspondiente con el administrador de tu espacio de trabajo de Notion utilizando un canal seguro aprobado. Snowflake proporciona dos secretos válidos, por lo que puedes rotarlos sin tiempo de inactividad. Nunca pegues ninguno de los secretos en documentación, chats, tickets o control de código fuente.

Una vez que Snowflake esté listo, un propietario o administrador del espacio de trabajo añade el servidor para todo el espacio de trabajo. Los miembros podrán encontrarlo sin ver el secreto del cliente OAuth, tanto si conectan el MCP de Snowflake a un Agente Personalizado como a su propio Agente de Notion.

1. Ve a Ajustes del espacio de trabajo.

2. Selecciona Conexiones → MCP compartidos del espacio de trabajo.

3. Selecciona Nuevo MCP del espacio de trabajo.

Rellena estos campos y, a continuación, selecciona Añadir servidor MCP:

Tras guardar, confirma que la nueva fila aparece en Compartido con este espacio de trabajo y que Cliente OAuth del espacio de trabajo muestra Configurado.

Qué hace esta configuración:

• Ayuda a los miembros a encontrar el servidor aprobado.

• Almacena una sola vez el secreto del cliente OAuth en el almacenamiento cifrado de conexiones de Notion.

• Asegura que los miembros inicien sesión con la URL del servidor, el cliente y los ámbitos que has aprobado.

• No crea una sesión de Snowflake compartida ni omite los controles de acceso de Snowflake.

• No conecta a cada miembro automáticamente. Cada persona debe iniciar sesión por separado.

Si eliminas esta configuración, los nuevos miembros ya no podrán encontrar el servidor. Las conexiones existentes podrían seguir apareciendo, así que coordina este cambio con la revocación de los permisos de Snowflake y la eliminación de las conexiones existentes.

Una vez que tus administradores tengan lista la conexión MCP de Snowflake, hay dos formas de usarla. Si vas a configurar esto para un equipo, empieza por el apartado 11A. Si solo quieres hacer tus propias preguntas, pasa directamente al apartado 11B. Puedes hacer ambas cosas; son conexiones independientes.

Un Agente Personalizado ofrece a tu equipo un lugar donde consultar datos de Snowflake. Conectas Snowflake una vez, añades instrucciones sobre tus métricas y tablas, y compartes el agente con tu equipo. Todas las personas que lo utilicen tendrán que iniciar sesión en Snowflake con sus propias credenciales, así que solo obtendrán respuestas basadas en los datos que tienen permiso para ver.

Conectar Snowflake a un Agente Personalizado

1. Abre tu Agente Personalizado o crea uno nuevo.

2. Ve a Ajustes → Herramientas y acceso.

3. Selecciona Añadir conexión y, a continuación, elige el servidor de Snowflake con la etiqueta Gestionado por el espacio de trabajo. No selecciones Servidor MCP personalizado ni introduzcas la URL del servidor manualmente.

4. Inicia sesión en Snowflake en tu navegador. Es posible que aparezca el inicio de sesión habitual de tu organización mediante Okta o el inicio de sesión único (SSO).

5. Revisa y aprueba el rol de Snowflake solicitado.

6. Elige qué herramientas puede utilizar el agente. Deja las herramientas con capacidad de escritura y CORTEX_AGENT_RUN configuradas para solicitar aprobación hasta que las hayas probado.

7. Selecciona Conectar y confirma que la conexión aparece como Conectado.

Proporciona contexto al agente

La conexión otorga al agente acceso a Snowflake. Tus instrucciones le indican cómo utiliza tu empresa esos datos. En las instrucciones del agente, describe qué herramientas utilizar para cada tipo de pregunta, cómo define tu equipo las métricas clave y desde qué tablas o vistas semánticas empezar. Unos cuantos ejemplos de preguntas verificadas son de gran ayuda. Para obtener un punto de partida ya preparado, consulta la guía del kit de herramientas Data Scout.

Comparte el agente

Comparte el agente con tu equipo de la misma forma que compartes cualquier Agente Personalizado. La primera vez que alguien le haga una pregunta que requiera Snowflake, se le pedirá que inicie sesión con su propia cuenta de Snowflake. No se le solicitará ningún ID de cliente ni secreto.

Si quieres hacer tus propias preguntas en tu propio chat, conecta Snowflake a tu agente de Notion. Inicias sesión con tu propia cuenta de Snowflake, por lo que tu agente solo accede a lo que tienes permiso para ver.

1. Ve a Configuración → IA de Notion.

2. En Servidores MCP, selecciona Añadir servidor MCP.

3. Selecciona el servidor de Snowflake etiquetado como Gestionado por el espacio de trabajo. No selecciones Servidor MCP personalizado ni introduzcas la URL del servidor manualmente.

4. Selecciona Conectar.

5. Inicia sesión en Snowflake en tu navegador. Es posible que aparezca el inicio de sesión habitual de tu organización mediante Okta o el inicio de sesión único (SSO).

6. Revisa y aprueba el rol de Snowflake solicitado.

7. Cuando tu navegador pregunte si deseas abrir Notion, selecciona Abrir Notion.

8. Confirma que el estado del servidor es Conectado, no Requiere autenticación.

Después de conectarte, Snowflake aparece en Todas las fuentes → Servidores MCP en el chat.

1. Haz una pregunta inofensiva cuya respuesta conozcas y para la que deba usarse Snowflake.

2. Confirma que el agente utiliza Snowflake y devuelve un resultado.

3. Confirma que no puedes acceder a datos para los que el rol que se te ha asignado no tenga permisos.

Si configuras un Agente Personalizado, pide también a un compañero de equipo con un rol de Snowflake más restringido que lo pruebe. Debería ver solo sus propios datos, no los tuyos. Esa es la forma más rápida de confirmar que el agente está utilizando el acceso de cada persona en lugar del del creador.

Para una comprobación más profunda, pide a tu administrador de Snowflake que confirme tu usuario, rol, almacén virtual e historial de consultas. Un inicio de sesión correcto confirma tu identidad, pero no confirma que todos los permisos sean correctos.

Haz al agente una pregunta específica sobre tus datos de Snowflake. Por ejemplo:

• «Según los datos de Snowflake, ¿cuántos registros tuvimos en total el mes pasado?»

• «Según los datos de Snowflake, ¿cuáles fueron nuestras 10 cuentas con mayores ingresos este trimestre?»

Con un Agente Personalizado, normalmente puedes omitir «según los datos de Snowflake» una vez que sus instrucciones dejen claro cuándo usarlo. Con tu Agente de Notion, mencionar Snowflake ayuda al agente a elegir la fuente correcta.

Las solicitudes grandes pueden tardar más o superar el tiempo de espera. Si eso sucede, haz una pregunta más específica o divide la solicitud en preguntas más pequeñas.

La mayor parte del tiempo, permanecerás conectado sin hacer nada. Snowflake utiliza tokens de acceso de corta duración y Notion los actualiza en segundo plano. La caducidad de un token de acceso, por sí sola, no te desconectará.

Tendrás que iniciar sesión de nuevo si:

• Tu token de actualización caduca o un administrador lo revoca

• Un administrador reemplaza la integración OAuth o el secreto del cliente

• Se elimina tu rol de Snowflake

• Un administrador elimina la configuración del espacio de trabajo o tu conexión

• Una política de red bloquea la actualización del token

Con un Agente Personalizado, el inicio de sesión de cada persona es independiente. Si se le pide a una persona que vuelva a iniciar sesión, no afecta a nadie más, y la persona que creó el agente no necesita hacer nada.

Si vas a rotar el secreto del cliente: Utiliza la rotación de dos secretos de Snowflake en lugar de reemplazar la integración. Mantén ambos secretos válidos el tiempo suficiente para actualizar y probar la configuración del espacio de trabajo antes de retirar el antiguo.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• La conexión MCP de Snowflake no aparece en la lista. Es posible que el administrador de tu espacio de trabajo aún no la haya añadido, o que tu espacio de trabajo limite los servidores personalizados. Pide ayuda a tu administrador.

• Se te pide un ID de cliente o un secreto. Probablemente elegiste la opción MCP personalizada. Vuelve atrás y elige el servidor de Snowflake marcado como Gestionado por el espacio de trabajo.

• Se te pide que vuelvas a iniciar sesión. Es posible que tu sesión de Snowflake haya caducado o que un administrador haya actualizado la conexión. Inicia sesión en Snowflake de nuevo.

• Has abierto un Agente Personalizado y te ha pedido que inicies sesión en Snowflake. Es lo esperado la primera vez. Cada persona que utiliza un Agente Personalizado gestionado debe iniciar sesión con sus propias credenciales de Snowflake.

• Un compañero de equipo obtiene resultados diferentes del mismo Agente Personalizado. Es lo esperado. El agente utiliza el acceso a Snowflake de cada persona, por lo que las personas con diferentes roles ven datos diferentes.

• El Agente Personalizado funciona en el chat, pero no de forma programada. Las ejecuciones programadas y disparadas no tienen a una persona que haya iniciado sesión, por lo que todavía no pueden utilizar Snowflake con el inicio de sesión individual.

• Has iniciado sesión, pero no se conecta o las herramientas fallan. Iniciar sesión demuestra quién eres, pero tu acceso sigue dependiendo de tus permisos de Snowflake. Pide a tu administrador de Snowflake que confirme que tu rol puede acceder al servidor, al almacén virtual, al agente y a los datos.

• El agente no puede encontrar una tabla. El agente solo puede acceder a los datos a los que puede acceder tu cuenta de Snowflake. Comprueba tus permisos de Snowflake e incluye el nombre de la tabla en tu pregunta.

• Una solicitud agota el tiempo de espera. Haz una pregunta más específica o divide tu solicitud en preguntas más pequeñas.

Estos errores suelen provenir de la configuración de Snowflake, no de Notion. Compártelos con tu administrador de Snowflake.

• La URL del servidor parece duplicada, como https://https%3A... La dirección se pegó con un https:// adicional delante. Corrígela para que la URL comience con un solo https://.

• Ves «This server does not support OAuth authentication.» La integración de seguridad no está configurada para OAuth o la URL del servidor es incorrecta. Pide a tu administrador de Snowflake que compruebe la integración de seguridad OAuth y la URL del servidor.

• Ves invalid_client al iniciar sesión o actualizarla. El ID de cliente o el secreto son incorrectos, o el secreto ha cambiado. Pide a tu administrador el ID de cliente y el secreto actuales.

• El inicio de sesión funciona, pero falla inmediatamente. Es posible que tu rol no tenga acceso al servidor o que un rol o una regla de red esté bloqueando la sesión. Pide a tu administrador que compruebe tus permisos y políticas.

• Ves «The role ALL requested has been explicitly blocked.» La conexión solicitó todos los roles a la vez (session:role:all), lo cual está bloqueado. Utiliza un rol concreto en su lugar, como session:role:analyst, con el nombre real de tu rol.

• Ves un error de redirección (error 390307). La URL de redirección guardada en Snowflake no coincide con la que utiliza Notion. Pide a tu administrador que establezca la URL de redirección en la integración de seguridad con el valor exacto de Notion.

• Ves el error 390311 sobre un desafío de código no válido. Se trata de una falta de coincidencia de PKCE. Pide a tu administrador que confirme que OAUTH_ENFORCE_PKCE está configurado correctamente en la integración de seguridad.

• Estás conectado, pero no aparece ninguna herramienta. Es posible que a tu rol le falte USAGE en el servidor MCP. Pide a tu administrador que confirme el permiso y, a continuación, ejecuta DESCRIBE MCP SERVER para comprobar la configuración.

• Puedes acceder a más o menos datos de los que esperabas. Los roles secundarios cambian lo que tu sesión puede ver. Comprueba con tu administrador qué roles están activos en tu sesión.

• Antes funcionaba y ahora a todos les falla tras un cambio de secreto. Se ha cambiado el secreto del cliente, por lo que la conexión guardada está obsoleta. Pide a tu administrador el nuevo secreto y vuelve a conectarte.

• Antes funcionaba y ahora solo te falla a ti. Es posible que un rol, permiso o política haya cambiado, o que tu sesión haya caducado. Inicia sesión de nuevo y pide a tu administrador que confirme que tu acceso no ha cambiado.

• Se ha rechazado el identificador de tu cuenta. Utiliza el formato organization-account con un guion, como myorg-myaccount, en lugar de puntos.

• Una cuenta de PrivateLink no puede conectarse. Las cuentas de PrivateLink necesitan una configuración de red adicional. Pregunta a tu administrador si PrivateLink permite la conexión con Notion.

• Snowflake no está disponible en ejecuciones programadas o disparadas. En esas ejecuciones no hay ninguna persona con la sesión iniciada, por lo que todavía no pueden usar el inicio de sesión por persona. Ejecuta tu solicitud en el chat.

• Ves oauth_security_error después de iniciar sesión a través del navegador. Una política de red a nivel de cuenta podría estar bloqueando la solicitud. Tu administrador puede confirmarlo ejecutando:

• El inicio de sesión parece funcionar, pero obtienes un error de rol, incluso con el alcance correcto. Tu rol predeterminado podría estar bloqueado, por ejemplo ACCOUNTADMIN o un rol en BLOCKED_ROLES_LIST. Tu administrador puede comprobarlo y solucionarlo:

Estos comandos de solo lectura ayudan a tu administrador a confirmar la configuración sin cambiar nada. Ejecútalos en Snowflake.

Utiliza estas guías de Snowflake para completar la configuración:

• Servidor MCP gestionado por Snowflake

• Crear una integración de seguridad OAuth de Snowflake

• OAuth de Snowflake para clientes personalizados

• Descripción general de OAuth de Snowflake

• Identificadores de cuenta de Snowflake

• Agentes Personalizados

• Conexiones MCP para Agentes Personalizados

• Conecta servidores MCP a tu Agente de Notion

• Prácticas recomendadas de seguridad para las conexiones de agentes