Sette opp Snowflake MCP for Notion

Skreddersydde agenter og Notion-agenten din kan koble til Snowflake via en MCP (Model Context Protocol)-server som Snowflake kjører. Når alt er satt opp, kan du spørre agenten om dataene i Snowflake-datavarehuset og få svar direkte i Notion.

Oppsettet skjer i etapper, og ulike personer har ansvar for hver av dem:

• En Snowflake-administrator setter opp rollen, datavarehuset og den Snowflake-administrerte MCP-serveren.

• En eier eller administrator av et Notion-arbeidsområde konfigurerer MCP-forbindelsen til Snowflake for arbeidsområdet.

• Medlemmer av arbeidsområdet kan deretter koble seg til Snowflake MCP fra skreddersydde agenter med sin egen Snowflake-påloggingsinformasjon, eller koble Snowflake direkte til Notion-agenten sin. Trinn 1–10 i denne artikkelen er de samme for begge fremgangsmåtene. Fremgangsmåtene skiller lag ved trinn 11, avhengig av hvilken agent du vil koble til.

• Verktøyene som er tilgjengelige, kan variere med Snowflake-skyregionen din.

• Snowflakes administrerte MCP-server er ikke tilgjengelig i Fastlands-Kina eller i regioner for offentlige myndigheter.

• Arbeidsområdet ditt i Notion må ha et Business- eller Enterprise-abonnement.

• Bruk Notion i nettleseren eller på datamaskinen. Denne funksjonen er ikke tilgjengelig på mobil.

• Bedriften din trenger en Snowflake-konto.

• For å bygge en skreddersydd agent må du ha tilgang til å opprette agenter i arbeidsområdet ditt.

Før teamet ditt kan koble Snowflake til Notion, må en Snowflake-administrator sette opp tilgang. Dette er det mest omfattende trinnet, og du trenger bare å gjøre det én gang. Samarbeid med administratoren for Notion-arbeidsområdet ditt: Notion oppgir en omdirigerings-URI, og Snowflake oppgir en OAuth-klient-ID og -hemmelighet.

Du skal sette opp en rolle og et virtuelt datavarehus, opprette den Snowflake-administrerte MCP-serveren, gi den tilgang til ressursene den trenger, konfigurere OAuth-omfang og sikkerhetsintegrasjon og legge til en nettverkspolicy hvis organisasjonen krever det.

Fyll ut dette arbeidsarket sammen med administratoren for Notion-arbeidsområdet ditt før du starter. Medlemmer kan hoppe over dette og logge på med sine egne Snowflake-kontoer når oppsettet er fullført.

Kontovertsnavnet bruker bindestreker, ikke understrekingstegn. Sørg for at hvert objektnavn i server-URL-en samsvarer med det tilsvarende objektnavnet i Snowflake.

Bruk en dedikert rolle med færrest mulige rettigheter og ett godkjent virtuelt datavarehus når det er mulig.

Begrenset rolle uten sekundære roller (anbefalt). Denne modellen er enklere å forstå og kontrollere. Sett OAUTH_USE_SECONDARY_ROLES = NONE, angi ALLOWED_ROLES_LIST og bruk Notion-omfanget session:role:<mcp_access_role>.

En brukers sekundærroller som standard (valgfritt). Bruk denne modellen bare når serveren trenger rettigheter fra hver brukers DEFAULT_SECONDARY_ROLES i Snowflake. Sett OAUTH_USE_SECONDARY_ROLES = IMPLICIT, utelat ALLOWED_ROLES_LIST og bruk et tydelig angitt omfang for primærrollen. Snowflake tillater ikke sekundærroller med IMPLICIT sammen med ALLOWED_ROLES_LIST, så utelat listen over tillatte roller når du bruker denne modellen.

Bruk en dedikert rolle med færrest mulige rettigheter for MCP-serveren når det er mulig.

Tildel denne rollen gjennom de vanlige rutinene for identitetsstyring. Hvis Okta eller SCIM styrer hvem som har Snowflake-roller, må du ikke legge til brukere manuelt utenom disse rutinene.

Opprett eller velg en database og et skjema som eies av teamet som skal kjøre serveren.

Når forretningsspørsmål krever kontroll, kan du gjøre en Cortex Agent tilgjengelig som verktøy for medlemmene. Den samler semantiske visninger, verifiserte spørringer, Hurtigsøk og orkestrering på ett sted. En Cortex Agent er valgfri. Bruk spesifikasjonen nedenfor hvis du oppretter en. Hvis du erstatter en eksisterende agent, må erstatningen følge den godkjente spesifikasjonen.

Andre støttede Snowflake MCP-verktøytyper inkluderer CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Gi hvert verktøy et tydelig navn og en beskrivelse. Forklar hvilke data det dekker, hvor detaljerte resultatene er, og når det skal brukes. Dette hjelper agenten med å velge riktig verktøy.

USAGE-privilegiet på en MCP-server lar en rolle koble til serveren og se hvilke verktøy den har. Det gir ikke rollen tilgang til det virtuelle datavarehuset, agenten, den semantiske visningen, Hurtigsøk-tjenesten, den lagrede prosedyren eller de underliggende dataene. Gi rollen tilgang til hver ressurs som serverens verktøy trenger.

Gi bare tilgang til de ekstra ressursene hvert verktøy trenger. Gi for eksempel SELECT på en godkjent semantisk visning, USAGE på en Cortex Search-tjeneste eller USAGE på en bestemt funksjon eller prosedyre. Ikke gi rollen til PUBLIC eller legg til omfattende rettigheter for eksisterende eller fremtidige objekter.

Før du setter opp OAuth, sjekk MCP-serveren og rettighetene som er tildelt den:

Konfigurer MCP-skjemaet slik at det angir nøyaktig hvilken rolle medlemmene bør be om:

Bruk et eksplisitt rolleomfang. Ikke bruk session:role:all. Snowflake tolker denne verdien som brukerens primærrolle som standard, ikke som tilgang til alle roller, og retningslinjer for privilegerte roller kan blokkere den. En eksplisitt rolle gjør den forespurte tilgangen tydelig og lettere å kontrollere.

Før du kjører denne SQL-en, koordiner med administratoren for Notion-arbeidsområdet ditt. Be dem om å skrive inn Snowflake-server-URL-en i MCP-oppsettsskjemaet for arbeidsområdet og slå på Manually configure authentication og Use a workspace-shared OAuth client. Notion genererer en omdirigerings-URI. Kopier den og send den til Snowflake-administratoren. Etter at Snowflake har opprettet klient-ID-en og hemmeligheten, kan arbeidsområdeadministratoren fullføre oppsettet av tilkoblingen.

Bruk omdirigerings-URI-en nøyaktig slik Notion oppgir den. Ikke legg til en avsluttende skråstrek eller spørringsparametere, og ikke endre verten.

Sett IS_AGENTIC = TRUE for å merke økter fra denne integrasjonen som agentøkter. Da returnerer funksjonen IS_AGENT_ACTIVATED() i Snowflake TRUE, slik at Snowflake kan bruke egen revisjonslogging og styring for agenter. Hvis du bruker den valgfrie modellen med sekundærroller, setter du OAUTH_USE_SECONDARY_ROLES = IMPLICIT og utelater ALLOWED_ROLES_LIST.

Oppdateringstokenet er gyldig i 7776000 sekunder, eller 90 dager. Sjekk før du bruker denne verdien at den følger organisasjonens regler for ny autorisering og bytte av tokener. Unngå CREATE OR REPLACE SECURITY INTEGRATION ved vanlige endringer. Hvis du erstatter integrasjonen, kan eksisterende tilkoblinger bli avbrutt.

Kjør dette for å sjekke integrasjonen uten å vise klienthemmeligheten:

Bekreft at integrasjonen er slått på, at omdirigerings-URI-en samsvarer nøyaktig, at rollen er tillatt og ikke blokkert, at oppdateringstokener og PKCE er slått på, og at både autorisasjons- og token-endepunktene bruker Snowflakes offentlige kontovert.

Dette trinnet er bare nødvendig hvis organisasjonen din krever en nettverkspolicy. Be sikkerhets- eller nettverksansvarlig om å godkjenne Notions gjeldende IP-adresseområder for utgående trafikk.

OAuth-integrasjonen må tillate begge Notion-stiene:

1. API-stien som håndterer OAuth-tilbakekallinger og utveksler autorisasjonskoder

2. arbeidsområdets kjøretidssti som validerer tilkoblingen, kjører verktøy og oppdaterer tokener

Disse stiene kan bruke forskjellige utgående IP-adresser fra Notion. Hvis du bare tillater adressen som ble brukt under den første token-utvekslingen, kan påloggingen lykkes, men validering eller token-oppdatering kan mislykkes. Bruk Notions gjeldende, godkjente IP-adresseområder for utgående trafikk. Ikke legg til en engangs-IP-adresse fra en nettleser eller logg i en tillatelsesliste for produksjon.

Knytt denne nettverkspolicyen til OAuth-integrasjonen, ikke til individuelle brukere. Ikke endre kontoomfattende policyer for pålogging i nettleser, VPN-tilgang eller brukertilgang til nettverk. Hvis en nettverkspolicy blokkerer en token-forespørsel, kan Snowflake returnere invalid_client. Denne feilen betyr ikke nødvendigvis at klient-ID-en eller hemmeligheten er feil.

Kjør dette i et sikkert Snowflake-arbeidsark. Integrasjonsnavnet skiller mellom store og små bokstaver og er vanligvis med store bokstaver:

Del klient-ID-en og den tilhørende hemmeligheten med administratoren for Notion-arbeidsområdet ditt ved hjelp av en godkjent sikker kanal. Snowflake tilbyr to gyldige hemmeligheter, slik at du kan rotere dem uten nedetid. Lim aldri inn noen av hemmelighetene i dokumentasjon, chat, supportsaker eller versjonskontroll.

Når Snowflake er klar, legger en eier eller administrator av arbeidsområdet til MCP-serveren én gang for arbeidsområdet. Medlemmer kan deretter finne den uten å se OAuth-klienthemmeligheten, enten de kobler Snowflake MCP til en skreddersydd agent eller til sin egen Notion-agent.

1. Gå til Innstillinger for arbeidsområdet.

2. Velg Tilkoblinger → Delte MCP-servere for arbeidsområdet.

3. Velg Ny MCP-server for arbeidsområdet.

Fyll ut disse feltene, og velg deretter Legg til MCP-server:

Etter at du har lagret, bekreft at den nye raden vises under Shared with this workspace og at Workspace OAuth client viser Configured.

Hva dette oppsettet gjør:

• Hjelper medlemmer med å finne den godkjente serveren.

• Lagrer OAuth-klienthemmeligheten én gang i Notions krypterte lagring for tilkoblinger.

• Sikrer at medlemmer logger på med server-URL-en, klienten og omfangene du har godkjent.

• Oppretter ikke en delt Snowflake-økt og omgår ikke Snowflakes tilgangskontroller.

• Kobler ikke til hvert medlem automatisk. Hver person må logge på separat.

Hvis du fjerner dette oppsettet, kan ikke nye medlemmer lenger finne serveren. Eksisterende tilkoblinger kan fortsatt vises. Sørg derfor for å tilbakekalle tilganger i Snowflake og fjerne eksisterende tilkoblinger samtidig.

Når administratorene dine har Snowflake MCP-tilkoblingen klar, er det to måter å bruke den på. Hvis du setter opp dette for et team, start med 11A. Hvis du bare vil stille dine egne spørsmål, hopp til 11B. Du kan gjøre begge deler; de er separate tilkoblinger.

En skreddersydd agent gir teamet ett sted å stille spørsmål om Snowflake-data. Du kobler til Snowflake én gang, legger til instruksjoner om måltall og tabeller og deler agenten med teamet. Alle som bruker den, må logge på Snowflake med sin egen påloggingsinformasjon. Da får de bare svar basert på data de har tilgang til.

Koble Snowflake til en skreddersydd agent

1. Åpne den skreddersydde agenten din, eller opprett en ny.

2. Gå til Innstillinger → Verktøy og tilgang.

3. Velg Legg til tilkobling, og velg Snowflake-serveren merket Administrert av arbeidsområdet. Ikke velg Tilpasset MCP-server eller skriv inn server-URL-en manuelt.

4. Logg på Snowflake i nettleseren din. Organisasjonens vanlige Okta- eller SSO-pålogging kan dukke opp.

5. Gjennomgå og godkjenn den forespurte Snowflake-rollen.

6. Velg hvilke verktøy agenten kan bruke. La verktøy som kan skrive data og CORTEX_AGENT_RUN være satt til å be om godkjenning til du har testet dem.

7. Velg Koble til, og bekreft at tilkoblingen vises som Tilkoblet.

Gi agenten kontekst

Tilkoblingen gir agenten tilgang til Snowflake. Instruksjonene dine forteller agenten hvordan bedriften bruker dataene. Beskriv hvilke verktøy agenten skal bruke til ulike spørsmål, hvordan teamet definerer nøkkeltall, og hvilke tabeller eller semantiske visninger agenten skal starte med. Noen få spørsmål med bekreftede svar er til stor hjelp. Du finner et ferdig utgangspunkt i veiledningen til Data Scout-verktøysettet.

Del agenten

Del agenten med teamet på samme måte som andre skreddersydde agenter. Første gang noen stiller agenten et spørsmål som krever Snowflake, blir de bedt om å logge på med sin egen Snowflake-konto. De blir ikke bedt om klient-ID eller klienthemmelighet.

Hvis du vil stille dine egne spørsmål i din egen chat, kobler du Snowflake til din Notion-agent. Du logger på med din egen Snowflake-konto, slik at agenten din bare får tilgang til det du har lov til å se.

1. Gå til Innstillinger → Notion KI.

2. Under MCP-servere velger du Legg til MCP-server.

3. Velg Snowflake-serveren merket Administrert av arbeidsområdet. Ikke velg Tilpasset MCP-server eller skriv inn server-URL-en manuelt.

4. Velg Koble til.

5. Logg på Snowflake i nettleseren din. Organisasjonens vanlige Okta- eller SSO-pålogging kan dukke opp.

6. Gjennomgå og godkjenn den forespurte Snowflake-rollen.

7. Når nettleseren spør om du vil åpne Notion, velger du Åpne Notion.

8. Bekreft at serverstatusen er Tilkoblet, ikke Krever autentisering.

Etter at du har koblet til, vises Snowflake under Alle kilder → MCP-servere i chatten.

1. Still et ufarlig spørsmål med et kjent svar som bør bruke Snowflake.

2. Bekreft at agenten bruker Snowflake og returnerer et resultat.

3. Bekreft at du ikke kan få tilgang til data utenfor rollen du har fått tildelt.

Hvis du setter opp en skreddersydd agent, be også en kollega med en mer begrenset Snowflake-rolle om å prøve den. De skal bare se sine egne data, ikke dine. Det er den raskeste måten å bekrefte at agenten bruker hver persons tilgang i stedet for tilgangen til den som opprettet agenten.

For en grundigere sjekk, be Snowflake-administratoren din om å bekrefte brukeren, rollen, det virtuelle datavarehuset og spørringshistorikken din. En vellykket pålogging bekrefter identiteten din, men den bekrefter ikke at alle tilganger er korrekte.

Still agenten et spesifikt spørsmål om Snowflake-dataene dine. For eksempel:

• «Fra Snowflake, hvor mange registreringer hadde vi totalt forrige måned?»

• «Hvilke ti kontoer ga oss høyest inntekter dette kvartalet, ifølge Snowflake?»

Med en skreddersydd agent kan du vanligvis droppe «fra Snowflake» når instruksjonene gjør det tydelig når Snowflake skal brukes. Med Notion-agenten din hjelper det å nevne Snowflake slik at agenten velger riktig kilde.

Store forespørsler kan ta lang tid eller bli avbrutt. Hvis det skjer, still et mer avgrenset spørsmål eller del forespørselen i mindre spørsmål.

Som regel forblir du tilkoblet uten å gjøre noe. Snowflake bruker tilgangstokener med kort levetid, og Notion oppdaterer dem i bakgrunnen. Du blir ikke koblet fra bare fordi et tilgangstoken er i ferd med å utløpe.

Du må logge inn på nytt hvis:

• Oppdateringstokenet ditt utløper eller en administrator tilbakekaller det

• En administrator erstatter OAuth-integrasjonen eller klienthemmeligheten

• Snowflake-rollen din fjernes

• En administrator fjerner arbeidsområdeoppsettet eller tilkoblingen din

• En nettverkspolicy blokkerer token-oppdateringen

Med en skreddersydd agent er hver persons pålogging separat. Hvis én person blir bedt om å logge på igjen, påvirker det ikke noen andre, og personen som opprettet agenten trenger ikke å gjøre noe.

Hvis du rullerer klienthemmeligheten: Bruk Snowflakes løsning for rullering med to hemmeligheter i stedet for å erstatte integrasjonen. Sørg for at begge hemmelighetene forblir gyldige lenge nok til at du kan oppdatere og teste arbeidsområdeoppsettet før du tar den gamle ut av bruk.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• MCP-tilkoblingen til Snowflake står ikke på listen. Administratoren for arbeidsområdet har kanskje ikke lagt den til ennå, eller arbeidsområdet kan begrense bruken av tilpassede servere. Be administratoren om hjelp.

• Du blir bedt om klient-ID eller klienthemmelighet. Du valgte sannsynligvis alternativet for en tilpasset MCP-server. Gå tilbake og velg Snowflake-serveren merket Administrert av arbeidsområdet i stedet.

• Du blir bedt om å logge på igjen. Snowflake-økten din kan ha utløpt, eller en administrator kan ha oppdatert tilkoblingen. Logg på Snowflake igjen.

• Du åpnet en skreddersydd agent, og den ba deg logge på Snowflake. Det er normalt første gang. Alle som bruker en administrert skreddersydd agent, må logge på med sin egen Snowflake-påloggingsinformasjon.

• En teamkollega får andre resultater fra den samme skreddersydde agenten. Det er forventet. Agenten bruker hver persons Snowflake-tilgang, så personer med ulike roller ser ulike data.

• Den skreddersydde agenten fungerer i chat, men ikke når den kjøres etter en tidsplan. Planlagte og utløste kjøringer har ingen pålogget person, så de kan foreløpig ikke bruke Snowflake med individuell pålogging.

• Du har logget på, men agenten får ikke koblet til, eller verktøyene fungerer ikke. Pålogging bekrefter hvem du er, men tilgangen din avhenger fortsatt av rettighetene dine i Snowflake. Be Snowflake-administratoren din om å bekrefte at rollen din har tilgang til serveren, datavarehuset, agenten og dataene.

• Agenten finner ikke en tabell. Agenten har bare tilgang til dataene som Snowflake-kontoen din har tilgang til. Sjekk tilgangsrettighetene dine i Snowflake, og oppgi navnet på tabellen i spørsmålet ditt.

• En forespørsel overskrider tidsgrensen. Still et mer spesifikt spørsmål, eller del opp forespørselen i mindre spørsmål.

Disse feilene kommer vanligvis fra Snowflake-innstillinger, ikke Notion. Del dem med Snowflake-administratoren din.

• Server-URL-en ser ut til å være doblet, som https://https%3A... Adressen ble limt inn med en ekstra https:// foran. Rett opp dette slik at URL-en starter med bare én https://.

• Du ser «This server does not support OAuth authentication.» Sikkerhetsintegrasjonen er ikke satt opp for OAuth, eller server-URL-en er feil. Be Snowflake-administratoren din om å sjekke OAuth-sikkerhetsintegrasjonen og server-URL-en.

• Du ser invalid_client mens du logger på eller oppdaterer. Klient-ID-en eller klienthemmeligheten er feil, eller klienthemmeligheten er endret. Be administratoren din om gjeldende klient-ID og klienthemmelighet.

• Innlogging fungerer, men feiler umiddelbart etterpå. Rollen din har kanskje ikke tilgang til serveren, eller en rolle eller nettverksregel blokkerer økten. Be administratoren din om å sjekke tilgangene og retningslinjene dine.

• Du ser «The role ALL requested has been explicitly blocked.» Tilkoblingen ba om alle roller samtidig (session:role:all), noe som er blokkert. Bruk én spesifikk rolle i stedet, som session:role:analyst, med det faktiske rollenavnet ditt.

• Du ser en omdirigeringsfeil (feil 390307). Omdirigerings-URL-en som er lagret i Snowflake, samsvarer ikke med den Notion bruker. Be administratoren din om å sette omdirigerings-URL-en på sikkerhetsintegrasjonen til den nøyaktige Notion-verdien.

• Du ser feil 390311 om en ugyldig kodeutfordring. Dette er en PKCE-samsvarsfeil. Be administratoren din om å bekrefte at OAUTH_ENFORCE_PKCE er satt riktig på sikkerhetsintegrasjonen.

• Du er tilkoblet, men ingen verktøy vises. Rollen din mangler kanskje USAGE på MCP-serveren. Be administratoren din om å bekrefte tilgangen, og kjør deretter DESCRIBE MCP SERVER for å sjekke oppsettet.

• Du kan få tilgang til mer eller mindre data enn forventet. Sekundære roller endrer hvilke data økten din kan se. Sjekk sammen med administratoren din hvilke roller som er aktive i økten din.

• Det fungerte før, men nå feiler det for alle etter at klienthemmeligheten ble endret. Klienthemmeligheten er byttet ut, så den lagrede tilkoblingen er utdatert. Be administratoren din om den nye hemmeligheten, og koble til på nytt.

• Det fungerte før, men nå feiler det bare for deg. En rolle, tilgang eller retningslinje kan ha blitt endret, eller økten din har utløpt. Logg på igjen, og be administratoren din sjekke at tilgangen din ikke er endret.

• Kontoidentifikatoren din blir avvist. Bruk formatet organization-account med bindestrek, som myorg-myaccount, ikke punktum.

• En PrivateLink-konto kan ikke koble til. PrivateLink-kontoer krever ekstra nettverksoppsett. Spør administratoren din om PrivateLink tillater Notion-tilkoblingen.

• Snowflake er ikke tilgjengelig i planlagte eller utløste kjøringer. Disse kjøringene har ingen pålogget bruker, så de kan ennå ikke bruke pålogging for hver enkelt bruker. Kjør forespørselen din i chatten i stedet.

• Du ser oauth_security_error etter at du har logget på via nettleseren. En nettverkspolicy på kontonivå kan blokkere forespørselen. Administratoren din kan bekrefte dette ved å kjøre:

• Innloggingen ser ut til å fungere, men du får en rollefeil, selv med riktig tilgangsområde. Standardrollen din kan være blokkert, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Administratoren din kan sjekke og fikse dette:

Disse kommandoene, som kun leser data, hjelper administratoren din med å bekrefte oppsettet uten å endre noe. Kjør dem i Snowflake.

Bruk disse Snowflake-veiledningene for å fullføre oppsettet:

• Snowflake-administrert MCP-server

• Opprette en Snowflake OAuth-sikkerhetsintegrasjon

• Snowflake OAuth for tilpassede klienter

• Oversikt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Skreddersydde agenter

• MCP-tilkoblinger for skreddersydde agenter

• Koble MCP-servere til Notion-agenten din

• Beste praksis for sikkerhet ved agenttilkoblinger