Thiết lập Snowflake MCP cho Notion

Trợ lý tùy chỉnh và Trợ lý Notion của bạn có thể kết nối với Snowflake thông qua máy chủ MCP (Giao thức ngữ cảnh mô hình) do Snowflake vận hành. Sau khi thiết lập xong, bạn có thể hỏi trợ lý của mình về dữ liệu trong kho dữ liệu Snowflake và nhận câu trả lời trực tiếp trong Notion.

Quá trình thiết lập diễn ra theo từng giai đoạn và mỗi giai đoạn do những người khác nhau phụ trách:

• Một quản trị viên Snowflake thiết lập vai trò, kho dữ liệu và máy chủ MCP do Snowflake quản lý.

• Một chủ sở hữu hoặc quản trị viên không gian làm việc Notion định cấu hình kết nối Snowflake MCP cho không gian làm việc.

• Các thành viên không gian làm việc sau đó có thể kết nối với Snowflake MCP từ các trợ lý tùy chỉnh bằng thông tin đăng nhập Snowflake của riêng họ, hoặc kết nối Snowflake trực tiếp với Trợ lý Notion của họ. Các bước từ 1–10 của bài viết này giống nhau cho cả hai lộ trình. Các lộ trình sẽ tách ra tại Bước 11, tùy thuộc vào trợ lý mà bạn muốn kết nối.

• Các công cụ khả dụng có thể khác nhau tùy theo khu vực đám mây Snowflake của bạn.

• Máy chủ MCP do Snowflake quản lý không khả dụng ở Trung Quốc đại lục hoặc các khu vực đám mây dành cho chính phủ.

• Không gian làm việc Notion của bạn phải sử dụng gói Business hoặc gói Enterprise.

• Dùng Notion trên web hoặc ứng dụng máy tính. Tính năng này không khả dụng trên thiết bị di động.

• Công ty của bạn cần có tài khoản Snowflake.

• Để tạo trợ lý tùy chỉnh, bạn cần có quyền tạo trợ lý trong không gian làm việc của mình.

Trước khi nhóm của bạn có thể kết nối Snowflake với Notion, quản trị viên Snowflake cần thiết lập quyền truy cập. Đây là bước phức tạp nhất và bạn chỉ cần thực hiện một lần. Hãy làm việc với quản trị viên không gian làm việc Notion của bạn: Notion cung cấp URI chuyển hướng, còn Snowflake cung cấp ID ứng dụng khách OAuth và khóa bí mật OAuth.

Bạn sẽ thiết lập một vai trò và kho dữ liệu, tạo máy chủ MCP do Snowflake quản lý, cấp quyền truy cập vào các tài nguyên cần thiết, định cấu hình phạm vi OAuth và tích hợp bảo mật, đồng thời thêm chính sách mạng nếu tổ chức của bạn yêu cầu.

Hãy cùng quản trị viên không gian làm việc Notion điền vào bảng này trước khi bắt đầu. Sau khi thiết lập xong, các thành viên có thể bỏ qua bước này và đăng nhập bằng tài khoản Snowflake của mình.

Tên máy chủ tài khoản sử dụng dấu gạch nối, không phải dấu gạch dưới. Đảm bảo mỗi tên đối tượng trong URL máy chủ khớp với tên đối tượng tương ứng trong Snowflake.

Sử dụng vai trò chuyên dụng, có đặc quyền tối thiểu và một kho dữ liệu được phê duyệt bất cứ khi nào có thể.

Vai trò bị hạn chế không có vai trò phụ (được khuyến nghị). Mô hình này dễ hiểu và dễ kiểm tra hơn. Đặt OAUTH_USE_SECONDARY_ROLES = NONE, chỉ định ALLOWED_ROLES_LIST và sử dụng phạm vi Notion session:role:<mcp_access_role>.

Các vai trò phụ mặc định của người dùng (tùy chọn). Chỉ sử dụng mô hình này khi máy chủ cần các đặc quyền được kế thừa từ DEFAULT_SECONDARY_ROLES Snowflake của mỗi người dùng. Đặt OAUTH_USE_SECONDARY_ROLES = IMPLICIT, bỏ qua ALLOWED_ROLES_LIST và sử dụng phạm vi vai trò chính rõ ràng. Snowflake không cho phép các vai trò phụ IMPLICIT với ALLOWED_ROLES_LIST, vì vậy hãy bỏ qua danh sách cho phép khi bạn sử dụng mô hình này.

Sử dụng vai trò chuyên dụng, có đặc quyền tối thiểu cho máy chủ MCP bất cứ khi nào có thể.

Cấp vai trò này thông qua quy trình quản lý danh tính thông thường của bạn. Nếu Okta hoặc SCIM quản lý việc gán vai trò Snowflake cho người dùng, đừng thêm người dùng theo cách thủ công ngoài quy trình đó.

Tạo hoặc chọn một cơ sở dữ liệu và lược đồ thuộc sở hữu của nhóm sẽ chạy máy chủ.

Để trả lời các câu hỏi nghiệp vụ theo quy tắc quản trị dữ liệu, bạn có thể cung cấp Cortex Agent làm công cụ cho các thành viên. Công cụ này tập hợp các chế độ xem ngữ nghĩa, truy vấn đã xác minh, Tìm kiếm và khả năng điều phối vào một nơi. Bạn không bắt buộc phải dùng Cortex Agent. Nếu tạo một trợ lý, hãy dùng thông số kỹ thuật bên dưới. Nếu thay thế trợ lý hiện có, hãy đảm bảo trợ lý mới tuân theo thông số kỹ thuật đã được phê duyệt.

Các loại công cụ MCP Snowflake được hỗ trợ khác bao gồm CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC và SYSTEM_EXECUTE_SQL.

Đặt cho mỗi công cụ một tên và mô tả rõ ràng. Giải thích công cụ đó bao quát những dữ liệu nào, kết quả chi tiết đến mức nào và khi nào nên sử dụng. Điều này giúp trợ lý chọn đúng công cụ.

Đặc quyền USAGE trên máy chủ MCP cho phép một vai trò kết nối với máy chủ và tìm thấy các công cụ của máy chủ. Đặc quyền này không cấp cho vai trò quyền truy cập vào kho dữ liệu, trợ lý, chế độ xem ngữ nghĩa, dịch vụ Tìm kiếm, thủ tục lưu trữ hoặc dữ liệu nền. Hãy cấp cho vai trò quyền truy cập vào từng tài nguyên mà các công cụ của máy chủ cần.

Chỉ cấp quyền truy cập vào các tài nguyên bổ sung mà mỗi công cụ cần. Ví dụ: cấp SELECT trên chế độ xem ngữ nghĩa đã được phê duyệt, USAGE trên dịch vụ Cortex Search, hoặc USAGE trên một hàm hoặc thủ tục cụ thể. Không cấp vai trò cho PUBLIC hoặc thêm các đặc quyền rộng cho các đối tượng hiện tại hoặc tương lai.

Trước khi thiết lập OAuth, hãy kiểm tra máy chủ MCP và các quyền của nó:

Định cấu hình lược đồ MCP để công bố chính xác vai trò mà các thành viên cần yêu cầu:

Sử dụng phạm vi vai trò rõ ràng. Không sử dụng session:role:all. Snowflake coi giá trị đó là vai trò chính mặc định của người dùng, không phải là quyền truy cập vào mọi vai trò, và các chính sách cho các vai trò đặc quyền có thể chặn nó. Một vai trò rõ ràng giúp quyền truy cập được yêu cầu trở nên minh bạch và dễ kiểm tra hơn.

Trước khi chạy SQL này, hãy phối hợp với quản trị viên không gian làm việc Notion của bạn. Nhờ họ nhập URL máy chủ Snowflake vào biểu mẫu thiết lập MCP của không gian làm việc, rồi bật Cấu hình xác thực theo cách thủ công và Sử dụng ứng dụng khách OAuth được chia sẻ trong không gian làm việc. Notion sẽ tạo một URI chuyển hướng. Sao chép URI đó và gửi cho quản trị viên Snowflake. Sau khi Snowflake tạo ID ứng dụng khách và khóa bí mật, quản trị viên không gian làm việc có thể hoàn tất thiết lập kết nối.

Sử dụng URI chuyển hướng chính xác như Notion cung cấp. Không thêm dấu gạch chéo ở cuối hoặc tham số truy vấn, và không thay đổi tên máy chủ.

Việc đặt IS_AGENTIC = TRUE đánh dấu các phiên được tạo thông qua tích hợp này là phiên của trợ lý. Hàm IS_AGENT_ACTIVATED() của Snowflake sau đó sẽ trả về TRUE, cho phép Snowflake áp dụng kiểm toán và quản trị dành riêng cho trợ lý. Nếu bạn sử dụng mô hình vai trò phụ tùy chọn, hãy đặt OAUTH_USE_SECONDARY_ROLES = IMPLICIT và bỏ qua ALLOWED_ROLES_LIST.

Giá trị hiệu lực của mã thông báo làm mới 7776000 giây tương đương với 90 ngày. Trước khi sử dụng, hãy xác nhận rằng giá trị này khớp với các chính sách ủy quyền lại và xoay vòng mã thông báo của tổ chức bạn. Đối với các thay đổi định kỳ, hãy tránh dùng CREATE OR REPLACE SECURITY INTEGRATION. Việc thay thế tích hợp có thể làm gián đoạn các kết nối hiện có.

Để kiểm tra tích hợp mà không hiển thị khóa bí mật, hãy chạy:

Xác nhận rằng tích hợp đã được bật, URI chuyển hướng khớp chính xác, vai trò được cho phép và không bị chặn, mã thông báo làm mới và PKCE đã được bật, và cả điểm cuối ủy quyền và điểm cuối mã thông báo đều sử dụng máy chủ tài khoản công khai của Snowflake.

Bước này chỉ cần thiết nếu tổ chức của bạn yêu cầu chính sách mạng. Hãy đề nghị người phụ trách bảo mật hoặc mạng phê duyệt các dải địa chỉ IP đầu ra hiện tại của Notion.

Tích hợp OAuth phải cho phép cả hai đường dẫn Notion:

1. đường dẫn API xử lý các lệnh gọi lại OAuth và trao đổi mã ủy quyền

2. đường dẫn thời gian chạy không gian làm việc xác thực kết nối, chạy công cụ và làm mới mã thông báo

Các đường dẫn này có thể sử dụng những địa chỉ IP đầu ra khác nhau của Notion. Nếu bạn chỉ cho phép địa chỉ được sử dụng trong lần trao đổi mã thông báo ban đầu, việc đăng nhập có thể thành công nhưng bước xác thực hoặc làm mới mã thông báo có thể thất bại. Hãy sử dụng các dải địa chỉ IP đầu ra hiện tại đã được phê duyệt của Notion. Đừng thêm một địa chỉ IP chỉ xuất hiện một lần trong trình duyệt hoặc nhật ký vào danh sách cho phép của môi trường sản xuất.

Gắn chính sách mạng này vào tích hợp OAuth, không phải vào từng người dùng. Đừng thay đổi các chính sách áp dụng cho toàn bộ tài khoản về đăng nhập qua trình duyệt, truy cập VPN hoặc truy cập mạng của người dùng. Nếu chính sách mạng chặn yêu cầu mã thông báo, Snowflake có thể trả về invalid_client. Lỗi này không nhất thiết có nghĩa là ID ứng dụng khách hoặc khóa bí mật không chính xác.

Chạy lệnh này trong một trang tính Snowflake an toàn. Tên tích hợp có phân biệt chữ hoa chữ thường và thường ở dạng chữ in hoa:

Chia sẻ ID ứng dụng khách và khóa bí mật tương ứng với quản trị viên không gian làm việc Notion của bạn qua một kênh bảo mật đã được phê duyệt. Snowflake cung cấp hai khóa bí mật hợp lệ để bạn có thể luân phiên thay thế chúng mà không làm gián đoạn dịch vụ. Tuyệt đối không dán khóa bí mật nào vào tài liệu, cuộc trò chuyện, phiếu hỗ trợ hoặc hệ thống quản lý mã nguồn.

Khi Snowflake đã sẵn sàng, chủ sở hữu hoặc quản trị viên không gian làm việc sẽ thêm máy chủ một lần cho không gian làm việc đó. Sau đó, các thành viên có thể tìm thấy máy chủ mà không cần thấy mã bí mật của ứng dụng khách OAuth, dù họ kết nối Snowflake MCP với trợ lý tùy chỉnh hay Trợ lý Notion của riêng mình.

1. Vào Cài đặt của không gian làm việc.

2. Chọn Kết nối → MCP được chia sẻ trong không gian làm việc.

3. Chọn MCP mới cho không gian làm việc.

Điền vào các trường này, sau đó chọn Thêm máy chủ MCP:

Sau khi lưu, hãy xác nhận rằng hàng mới xuất hiện trong Được chia sẻ với không gian làm việc này và Ứng dụng khách OAuth của không gian làm việc hiển thị Đã định cấu hình.

Thiết lập này có tác dụng gì:

• Giúp các thành viên tìm thấy máy chủ đã được phê duyệt.

• Lưu trữ khóa bí mật của ứng dụng khách OAuth một lần trong bộ lưu trữ kết nối được mã hóa của Notion.

• Đảm bảo các thành viên đăng nhập bằng URL máy chủ, ứng dụng khách và phạm vi mà bạn đã phê duyệt.

• Không tạo phiên Snowflake được chia sẻ hoặc bỏ qua các kiểm soát truy cập của Snowflake.

• Không tự động kết nối mọi thành viên. Mỗi người phải đăng nhập riêng.

Nếu bạn xóa thiết lập này, các thành viên mới sẽ không thể tìm thấy máy chủ nữa. Các kết nối hiện có vẫn có thể xuất hiện, vì vậy hãy phối hợp thay đổi này với việc thu hồi các quyền của Snowflake và xóa các kết nối hiện có.

Khi quản trị viên của bạn đã chuẩn bị xong kết nối Snowflake MCP, có hai cách để sử dụng kết nối đó. Nếu bạn đang thiết lập việc này cho một nhóm, hãy bắt đầu với 11A. Nếu bạn chỉ muốn tự đặt câu hỏi, hãy chuyển đến 11B. Bạn có thể thực hiện cả hai; đó là hai kết nối riêng biệt.

Trợ lý tùy chỉnh (Custom Agent) cung cấp cho nhóm của bạn một nơi để đặt câu hỏi về dữ liệu Snowflake. Bạn kết nối Snowflake một lần, thêm hướng dẫn về các chỉ số và bảng của mình, rồi chia sẻ trợ lý đó với nhóm. Mọi người sử dụng trợ lý này sẽ được yêu cầu đăng nhập vào Snowflake bằng thông tin đăng nhập của riêng họ, vì vậy mỗi người chỉ nhận được câu trả lời dựa trên dữ liệu mà họ được phép xem.

Kết nối Snowflake với trợ lý tùy chỉnh

1. Mở trợ lý tùy chỉnh của bạn hoặc tạo một trợ lý mới.

2. Đi tới Cài đặt → Công cụ & Truy cập.

3. Chọn Thêm kết nối, sau đó chọn máy chủ Snowflake có nhãn Workspace Managed. Không chọn Máy chủ MCP tùy chỉnh hoặc nhập thủ công URL máy chủ.

4. Đăng nhập vào Snowflake trong trình duyệt của bạn. Bạn có thể thấy màn hình đăng nhập Okta hoặc SSO thường dùng của tổ chức mình.

5. Xem xét và phê duyệt vai trò Snowflake được yêu cầu.

6. Chọn các công cụ mà trợ lý có thể sử dụng. Hãy để các công cụ có khả năng ghi và CORTEX_AGENT_RUN ở trạng thái yêu cầu phê duyệt cho đến khi bạn đã kiểm tra chúng.

7. Chọn Kết nối và xác nhận kết nối hiển thị là Đã kết nối.

Cung cấp ngữ cảnh cho trợ lý

Kết nối này cho phép trợ lý truy cập Snowflake. Hướng dẫn của bạn cho trợ lý biết cách công ty bạn sử dụng dữ liệu đó. Trong phần hướng dẫn dành cho trợ lý, hãy mô tả công cụ nào cần dùng cho từng loại câu hỏi, cách nhóm của bạn xác định các chỉ số chính và nên bắt đầu từ những bảng dữ liệu hoặc chế độ xem ngữ nghĩa nào. Một vài câu hỏi ví dụ đã được xác minh sẽ rất hữu ích. Để có điểm khởi đầu sẵn có, hãy xem hướng dẫn về bộ công cụ Data Scout.

Chia sẻ trợ lý

Chia sẻ trợ lý với nhóm của bạn như cách bạn chia sẻ bất kỳ trợ lý tùy chỉnh nào. Lần đầu tiên ai đó đặt câu hỏi cần đến Snowflake, họ sẽ được nhắc đăng nhập bằng tài khoản Snowflake của riêng mình. Họ sẽ không phải cung cấp ID ứng dụng khách hoặc mã bí mật.

Nếu bạn muốn đặt câu hỏi của riêng mình trong cuộc trò chuyện riêng, hãy kết nối Snowflake với Trợ lý Notion của bạn. Bạn đăng nhập bằng tài khoản Snowflake của riêng mình, nên trợ lý của bạn chỉ có thể truy cập những gì bạn được phép xem.

1. Đi tới Cài đặt → Notion AI.

2. Trong phần Máy chủ MCP, chọn Thêm máy chủ MCP.

3. Chọn máy chủ Snowflake có nhãn Workspace Managed. Không chọn Máy chủ MCP tùy chỉnh hoặc nhập thủ công URL máy chủ.

4. Chọn Kết nối.

5. Đăng nhập vào Snowflake trên trình duyệt của bạn. Trang đăng nhập Okta hoặc SSO thông thường của tổ chức bạn có thể xuất hiện.

6. Xem xét và phê duyệt vai trò Snowflake được yêu cầu.

7. Khi trình duyệt của bạn hỏi có muốn mở Notion hay không, hãy chọn Mở Notion.

8. Xác nhận rằng trạng thái máy chủ là Đã kết nối, không phải Cần xác thực.

Sau khi bạn kết nối, Snowflake sẽ xuất hiện trong Tất cả nguồn → Máy chủ MCP trong trò chuyện.

1. Hãy đặt một câu hỏi không gây hại, đã biết câu trả lời và cần dùng Snowflake để trả lời.

2. Xác nhận rằng trợ lý sử dụng Snowflake và trả về kết quả.

3. Xác nhận rằng bạn không thể truy cập dữ liệu nằm ngoài phạm vi vai trò được cấp.

Nếu bạn thiết lập một trợ lý tùy chỉnh, hãy nhờ một thành viên nhóm có vai trò Snowflake với phạm vi quyền hạn hẹp hơn dùng thử. Họ chỉ nên thấy dữ liệu của mình, không phải dữ liệu của bạn. Đó là cách nhanh nhất để xác nhận trợ lý đang sử dụng quyền truy cập của từng người thay vì quyền truy cập của người tạo trợ lý.

Để kiểm tra kỹ hơn, hãy yêu cầu quản trị viên Snowflake của bạn xác nhận người dùng, vai trò, kho dữ liệu và lịch sử truy vấn của bạn. Việc đăng nhập thành công xác nhận danh tính của bạn, nhưng nó không xác nhận rằng mọi quyền đều chính xác.

Hãy hỏi trợ lý một câu hỏi cụ thể về dữ liệu Snowflake của bạn. Ví dụ:

• "Từ Snowflake, tổng số lượt đăng ký của chúng ta tháng trước là bao nhiêu?"

• "Từ Snowflake, 10 tài khoản có doanh thu cao nhất của chúng ta trong quý này là những tài khoản nào?"

Với trợ lý tùy chỉnh, bạn thường có thể bỏ cụm từ "từ Snowflake" khi hướng dẫn của trợ lý đã nêu rõ khi nào cần dùng Snowflake. Với Trợ lý Notion, việc nêu tên Snowflake giúp trợ lý chọn đúng nguồn.

Các yêu cầu lớn có thể mất nhiều thời gian hơn hoặc bị hết thời gian chờ. Nếu điều đó xảy ra, hãy hỏi một câu hỏi hẹp hơn hoặc chia yêu cầu thành các câu hỏi nhỏ hơn.

Hầu hết thời gian, bạn vẫn duy trì kết nối mà không cần làm gì cả. Snowflake sử dụng các mã thông báo truy cập có thời hạn ngắn và Notion sẽ làm mới chúng trong nền. Chỉ riêng việc mã thông báo truy cập sắp hết hạn sẽ không khiến bạn bị ngắt kết nối.

Bạn sẽ cần đăng nhập lại nếu:

• Mã thông báo làm mới của bạn hết hạn hoặc quản trị viên thu hồi nó

• Quản trị viên thay thế tích hợp OAuth hoặc khóa bí mật của ứng dụng khách

• Vai trò Snowflake của bạn bị xóa

• Quản trị viên xóa thiết lập không gian làm việc hoặc kết nối của bạn

• Chính sách mạng chặn việc làm mới mã thông báo

Với trợ lý tùy chỉnh, việc đăng nhập của mỗi người là riêng biệt. Nếu một người được yêu cầu đăng nhập lại, điều đó không ảnh hưởng đến bất kỳ ai khác và người đã tạo trợ lý không cần phải làm gì cả.

Nếu bạn đang xoay vòng khóa bí mật của ứng dụng khách: Hãy sử dụng cơ chế xoay vòng hai khóa bí mật của Snowflake thay vì thay thế tích hợp. Giữ cả hai khóa bí mật còn hiệu lực đủ lâu để cập nhật và kiểm tra thiết lập không gian làm việc trước khi ngừng sử dụng khóa cũ.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Kết nối Snowflake MCP không được liệt kê. Quản trị viên không gian làm việc của bạn có thể chưa thêm nó hoặc không gian làm việc của bạn có thể giới hạn các máy chủ tùy chỉnh. Hãy nhờ quản trị viên của bạn trợ giúp.

• Bạn được yêu cầu cung cấp ID hoặc khóa bí mật của ứng dụng khách. Có lẽ bạn đã chọn tùy chọn MCP tùy chỉnh. Hãy quay lại và chọn máy chủ Snowflake được đánh dấu Workspace Managed.

• Bạn được yêu cầu đăng nhập lại. Phiên Snowflake của bạn có thể đã hết hạn hoặc quản trị viên có thể đã cập nhật kết nối. Hãy đăng nhập lại vào Snowflake.

• Bạn đã mở một trợ lý tùy chỉnh và được yêu cầu đăng nhập vào Snowflake. Điều đó là bình thường trong lần đầu tiên. Mỗi người sử dụng trợ lý tùy chỉnh được quản lý đều phải đăng nhập bằng thông tin đăng nhập Snowflake của riêng mình.

• Một thành viên nhóm nhận được kết quả khác từ cùng một trợ lý tùy chỉnh. Đó là điều bình thường. Trợ lý sử dụng quyền truy cập Snowflake của từng người, vì vậy những người có vai trò khác nhau sẽ thấy dữ liệu khác nhau.

• Trợ lý tùy chỉnh hoạt động khi trò chuyện nhưng không hoạt động theo lịch trình. Các lượt chạy được lên lịch và các lượt chạy được kích hoạt không có người đăng nhập, nên hiện chưa thể sử dụng Snowflake với hình thức đăng nhập riêng cho từng người.

• Bạn đã đăng nhập nhưng không thể kết nối hoặc các công cụ gặp lỗi. Việc đăng nhập xác nhận danh tính của bạn, nhưng quyền truy cập vẫn phụ thuộc vào các quyền được cấp trong Snowflake. Hãy yêu cầu quản trị viên Snowflake xác nhận vai trò của bạn có thể truy cập máy chủ, kho dữ liệu, trợ lý và dữ liệu.

• Trợ lý không thể tìm thấy bảng. Trợ lý chỉ có thể truy cập dữ liệu mà tài khoản Snowflake của bạn có quyền truy cập. Hãy kiểm tra quyền Snowflake của bạn và nêu tên bảng trong câu hỏi.

• Yêu cầu bị hết thời gian chờ. Hãy đặt câu hỏi cụ thể hơn hoặc chia yêu cầu của bạn thành các câu hỏi nhỏ hơn.

Những lỗi này thường xuất phát từ cài đặt Snowflake, không phải Notion. Hãy chia sẻ chúng với quản trị viên Snowflake của bạn.

• URL máy chủ trông bị lặp lại, như https://https%3A... Địa chỉ đã được dán với một https:// thừa ở phía trước. Hãy sửa lại để URL chỉ bắt đầu bằng một https://.

• Bạn thấy "This server does not support OAuth authentication." (Máy chủ này không hỗ trợ xác thực OAuth.) Tích hợp bảo mật chưa được thiết lập cho OAuth hoặc URL máy chủ bị sai. Hãy yêu cầu quản trị viên Snowflake kiểm tra tích hợp bảo mật OAuth và URL máy chủ.

• Bạn thấy invalid_client khi đăng nhập hoặc làm mới. ID ứng dụng khách hoặc mã bí mật không chính xác, hoặc mã bí mật đã bị thay đổi. Hãy hỏi quản trị viên để lấy ID ứng dụng khách và mã bí mật hiện tại.

• Đăng nhập thành công, nhưng sau đó bị lỗi ngay lập tức. Vai trò của bạn có thể không có quyền truy cập máy chủ, hoặc một vai trò hay quy tắc mạng đang chặn phiên làm việc. Hãy yêu cầu quản trị viên kiểm tra các quyền được cấp và chính sách áp dụng cho bạn.

• Bạn thấy "The role ALL requested has been explicitly blocked." (Vai trò ALL được yêu cầu đã bị chặn rõ ràng.) Kết nối đã yêu cầu tất cả các vai trò cùng lúc (session:role:all), nhưng yêu cầu này bị chặn. Thay vào đó, hãy chỉ định một vai trò cụ thể, chẳng hạn session:role:analyst, bằng tên vai trò thực tế của bạn.

• Bạn thấy lỗi chuyển hướng (lỗi 390307). URL chuyển hướng được lưu trong Snowflake không khớp với URL mà Notion sử dụng. Hãy yêu cầu quản trị viên đặt URL chuyển hướng trong cấu hình tích hợp bảo mật khớp chính xác với URL của Notion.

• Bạn thấy lỗi 390311 về code challenge không hợp lệ. Đây là lỗi không khớp PKCE. Hãy yêu cầu quản trị viên xác nhận OAUTH_ENFORCE_PKCE đã được đặt chính xác trong cấu hình tích hợp bảo mật.

• Bạn đã kết nối, nhưng không có công cụ nào hiển thị. Vai trò của bạn có thể thiếu quyền USAGE trên máy chủ MCP. Hãy yêu cầu quản trị viên xác nhận quyền, sau đó chạy DESCRIBE MCP SERVER để kiểm tra thiết lập.

• Bạn có thể truy cập nhiều hoặc ít dữ liệu hơn dự kiến. Các vai trò phụ ảnh hưởng đến dữ liệu mà phiên làm việc của bạn có thể xem. Hãy cùng quản trị viên kiểm tra những vai trò nào đang hoạt động trong phiên làm việc của bạn.

• Trước đây vẫn hoạt động, nhưng sau khi thay đổi mã bí mật, giờ mọi người đều gặp lỗi. Mã bí mật của ứng dụng khách đã được thay mới, nên thông tin kết nối đã lưu không còn hợp lệ. Hãy hỏi quản trị viên mã bí mật mới, rồi kết nối lại.

• Trước đây bạn vẫn dùng được, nhưng giờ chỉ mình bạn gặp lỗi. Vai trò, quyền hoặc chính sách có thể đã thay đổi, hoặc phiên làm việc của bạn đã hết hạn. Hãy đăng nhập lại, rồi nhờ quản trị viên xác nhận quyền truy cập của bạn không thay đổi.

• Định danh tài khoản của bạn bị từ chối. Sử dụng định dạng organization-account với dấu gạch nối, như myorg-myaccount, không sử dụng dấu chấm.

• Tài khoản PrivateLink không thể kết nối. Các tài khoản PrivateLink cần thiết lập mạng bổ sung. Hãy hỏi quản trị viên của bạn xem PrivateLink có cho phép kết nối Notion hay không.

• Snowflake không khả dụng trong các lượt chạy được lên lịch hoặc được kích hoạt. Những lượt chạy này không có người đăng nhập, nên chưa thể sử dụng hình thức đăng nhập riêng cho từng người. Thay vào đó, hãy chạy yêu cầu trong phần trò chuyện.

• Bạn thấy oauth_security_error sau khi đăng nhập qua trình duyệt. Một chính sách mạng cấp tài khoản có thể đang chặn yêu cầu. Quản trị viên của bạn có thể xác nhận bằng cách chạy:

• Đăng nhập có vẻ hoạt động nhưng bạn gặp lỗi vai trò, ngay cả với phạm vi quyền đúng. Vai trò mặc định của bạn có thể bị chặn, ví dụ như ACCOUNTADMIN hoặc một vai trò trong BLOCKED_ROLES_LIST. Quản trị viên của bạn có thể kiểm tra và khắc phục lỗi này:

Các lệnh chỉ đọc này giúp quản trị viên của bạn xác nhận thiết lập mà không làm thay đổi bất cứ điều gì. Hãy chạy chúng trong Snowflake.

Sử dụng các hướng dẫn Snowflake này để hoàn tất thiết lập:

• Máy chủ MCP do Snowflake quản lý

• Tạo tích hợp bảo mật OAuth cho Snowflake

• OAuth của Snowflake cho các ứng dụng khách tùy chỉnh

• Tổng quan về OAuth của Snowflake

• Các định danh tài khoản Snowflake

• Trợ lý tùy chỉnh

• Các kết nối MCP cho trợ lý tùy chỉnh

• Kết nối các máy chủ MCP với Trợ lý Notion của bạn

• Các phương pháp bảo mật tốt nhất cho kết nối của trợ lý