Sette opp Snowflake MCP for Notion

De skreddersydde agentene dine og Notion-agenten din kan koble til Snowflake via en MCP (Model Context Protocol)-server som Snowflake kjører. Når serveren er satt opp, kan du spørre agenten om dataene i Snowflake-datavarehuset og få svar direkte i Notion.

Oppsettet skjer i etapper, og ulike personer har ansvar for hver av dem:

• En Snowflake-administrator setter opp rollen, datavarehuset og den Snowflake-administrerte MCP-serveren.

• En eier eller administrator av Notion-arbeidsområdet konfigurerer forbindelsen til Snowflake MCP for arbeidsområdet.

• Medlemmer av arbeidsområdet kan deretter koble til Snowflake MCP fra skreddersydde agenter ved å bruke sin egen Snowflake-påloggingsinformasjon, eller koble Snowflake direkte til Notion-agenten sin. Trinn 1–10 i denne artikkelen er like for begge fremgangsmåtene. Fremgangsmåtene skiller lag ved trinn 11, avhengig av hvilken agent du vil koble til.

• Hvilke verktøy du kan bruke, avhenger av Snowflake-skyregionen din.

• Snowflakes administrerte MCP-server er ikke tilgjengelig i Fastlands-Kina eller i skyregioner for offentlige myndigheter.

• Notion-arbeidsområdet ditt må være på et Business- eller Enterprise-abonnement.

• Bruk Notion i nettleseren eller skrivebordsappen. Denne funksjonen er ikke tilgjengelig på mobil.

• Bedriften din må ha en Snowflake-konto.

• For å bygge en skreddersydd agent trenger du tilgang til å opprette agenter i arbeidsområdet ditt.

Før teamet kan koble Snowflake til Notion, må en Snowflake-administrator sette opp tilgang. Dette er det mest omfattende steget, og du trenger bare å gjøre det én gang. Samarbeid med administratoren for Notion-arbeidsområdet: Notion oppgir en omdirigerings-URI, og Snowflake oppgir en OAuth-klient-ID og en klienthemmelighet.

Du skal sette opp en rolle og et datavarehus, opprette den Snowflake-administrerte MCP-serveren, gi den tilgang til ressursene den trenger, konfigurere OAuth-omfanget og sikkerhetsintegrasjonen, samt legge til en nettverkspolicy hvis organisasjonen din krever det.

Fyll ut dette arbeidsarket sammen med administratoren for Notion-arbeidsområdet ditt før du starter. Medlemmer kan hoppe over dette og logge på med sine egne Snowflake-kontoer når oppsettet er fullført.

Kontovertsnavnet bruker bindestreker, ikke understrekingstegn. Sørg for at hvert objektnavn i server-URL-en samsvarer med det tilsvarende objektnavnet i Snowflake.

Bruk en dedikert rolle med færrest mulige rettigheter og ett godkjent datavarehus når det er mulig.

Begrenset rolle uten sekundære roller – anbefalt. Denne modellen er enklere å forstå og kontrollere. Sett OAUTH_USE_SECONDARY_ROLES = NONE, angi ALLOWED_ROLES_LIST og bruk Notion-omfanget session:role:<mcp_access_role>.

Brukerens standard sekundærroller – valgfritt. Bruk denne modellen bare når serveren trenger rettigheter som arves fra hver brukers Snowflake-DEFAULT_SECONDARY_ROLES. Sett OAUTH_USE_SECONDARY_ROLES = IMPLICIT, utelat ALLOWED_ROLES_LIST og bruk et eksplisitt omfang for primærrollen. Snowflake tillater ikke IMPLICIT-sekundærroller med ALLOWED_ROLES_LIST, så utelat listen over tillatte roller når du bruker denne modellen.

Bruk en dedikert rolle med færrest mulige rettigheter for MCP-serveren når det er mulig.

Tildel rollen gjennom den vanlige prosessen for identitetsstyring. Hvis Okta eller SCIM styrer hvem som har Snowflake-roller, må du ikke legge til brukere manuelt utenfor denne prosessen.

Opprett eller velg en database og et skjema som eies av teamet som skal kjøre serveren.

For spørsmål om styrte forretningsdata kan du gjøre en Cortex Agent tilgjengelig som verktøy for medlemmene. Den samler semantiske visninger, verifiserte spørringer, Search og orkestrering på ett sted. En Cortex Agent er valgfri. Hvis du oppretter en, bruker du spesifikasjonen nedenfor. Hvis du erstatter en eksisterende agent, må du sørge for at erstatningen samsvarer med den godkjente spesifikasjonen.

Andre støttede Snowflake MCP-verktøytyper inkluderer CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Gi hvert verktøy et tydelig navn og en beskrivelse. Forklar hvilke data det dekker, hvor detaljerte resultatene er, og når det skal brukes. Dette hjelper agenten med å velge riktig verktøy.

USAGE-rettigheten på en MCP-server lar en rolle koble til serveren og finne verktøyene på den. Den gir ikke rollen tilgang til datavarehuset, agenten, den semantiske visningen, Cortex Search-tjenesten, den lagrede prosedyren eller de underliggende dataene. Gi rollen tilgang til hver ressurs som serverens verktøy trenger.

Gi bare tilgang til de ekstra ressursene hvert verktøy trenger. Gi for eksempel SELECT på en godkjent semantisk visning, USAGE på en Cortex Search-tjeneste eller USAGE på en bestemt funksjon eller prosedyre. Ikke gi rollen til PUBLIC, og ikke gi omfattende rettigheter til eksisterende eller fremtidige objekter.

Sjekk MCP-serveren og rettighetene som er tildelt den, før du setter opp OAuth:

Konfigurer MCP-skjemaet slik at det oppgir nøyaktig hvilken rolle medlemmene skal be om:

Bruk et eksplisitt rolleomfang. Ikke bruk session:role:all. Snowflake tolker denne verdien som brukerens primærrolle som standard, ikke som tilgang til alle roller, og retningslinjer for privilegerte roller kan blokkere den. En eksplisitt rolle gjør det tydelig hvilken tilgang det bes om, og gjør den enklere å kontrollere.

Før du kjører denne SQL-en, må du koordinere med administratoren for Notion-arbeidsområdet ditt. Be administratoren skrive inn URL-en til Snowflake-serveren i skjemaet for MCP-oppsett i arbeidsområdet og slå på Manually configure authentication og Use a workspace-shared OAuth client. Notion genererer en omdirigerings-URI. Kopier den og send den til Snowflake-administratoren. Etter at Snowflake har opprettet klient-ID-en og klienthemmeligheten, kan arbeidsområdeadministratoren fullføre oppsettet av forbindelsen.

Bruk omdirigerings-URI-en nøyaktig slik Notion oppgir den. Ikke legg til en skråstrek til slutt eller spørringsparametere, og ikke endre verten.

Når du angir IS_AGENTIC = TRUE, markeres økter som opprettes gjennom denne integrasjonen, som agentøkter. Snowflakes IS_AGENT_ACTIVATED()-funksjon returnerer da TRUE, slik at Snowflake kan bruke agentspesifikk revisjon og styring. Hvis du bruker den valgfrie modellen med sekundærroller, angir du OAUTH_USE_SECONDARY_ROLES = IMPLICIT og utelater ALLOWED_ROLES_LIST.

Gyldighetsperioden for oppdateringstokenet på 7776000 sekunder tilsvarer 90 dager. Før du bruker den, bekreft at den samsvarer med organisasjonens retningslinjer for reautorisering og tokenrotasjon. Unngå CREATE OR REPLACE SECURITY INTEGRATION ved rutinemessige endringer. Hvis du erstatter integrasjonen, kan det avbryte eksisterende tilkoblinger.

Kjør følgende for å kontrollere integrasjonen uten å vise hemmeligheten:

Bekreft at integrasjonen er slått på, at omdirigerings-URI-en samsvarer nøyaktig, at rollen er tillatt og ikke blokkert, at oppdateringstokener og PKCE er slått på, og at både autorisasjons- og token-endepunktene bruker Snowflakes offentlige kontovert.

Dette trinnet er bare nødvendig hvis organisasjonen din krever en nettverkspolicy. Be sikkerhets- eller nettverksansvarlig om å godkjenne Notions gjeldende utgående områder.

OAuth-integrasjonen må tillate begge Notion-stiene:

1. API-stien som håndterer OAuth-callbacks og utveksler autorisasjonskoder

2. kjøretidsstien for arbeidsområdet som validerer tilkoblingen, kjører verktøy og oppdaterer tokener

Disse stiene kan bruke forskjellige utgående IP-adresser fra Notion. Hvis du bare tillater adressen som ble brukt under den første tokenutvekslingen, kan påloggingen lykkes, men validering eller oppdatering av tokener kan mislykkes. Bruk Notions gjeldende, godkjente IP-adresseområder for utgående trafikk. Ikke legg til en IP-adresse du fant én gang i en nettleser eller logg, i en tillatelsesliste for produksjonsmiljøet.

Knytt denne nettverkspolicyen til OAuth-integrasjonen, ikke til individuelle brukere. Ikke endre kontoomfattende policyer for pålogging i nettleser, VPN-tilgang eller brukertilgang til nettverk. Hvis en nettverkspolicy blokkerer en token-forespørsel, kan Snowflake returnere invalid_client. Denne feilen betyr ikke nødvendigvis at klient-ID-en eller hemmeligheten er feil.

Kjør dette i et sikkert Snowflake-arbeidsark. Integrasjonsnavnet skiller mellom store og små bokstaver og er vanligvis med store bokstaver:

Del klient-ID-en og den tilhørende hemmeligheten med administratoren for Notion-arbeidsområdet via en godkjent, sikker kanal. Snowflake tilbyr to gyldige hemmeligheter, slik at du kan rotere dem uten nedetid. Lim aldri inn noen av hemmelighetene i dokumentasjon, chatter, supportsaker eller versjonskontroll.

Når Snowflake er klar, legger en eier eller administrator av arbeidsområdet til MCP-serveren én gang for arbeidsområdet. Medlemmer kan deretter finne den uten å se OAuth-klienthemmeligheten, enten de kobler Snowflake MCP til en skreddersydd agent eller til sin egen Notion-agent.

1. Gå til Innstillinger for arbeidsområdet.

2. Velg Tilkoblinger → Delte MCP-er for arbeidsområdet.

3. Velg Ny MCP for arbeidsområdet.

Fyll ut disse feltene, og velg deretter Legg til MCP-server:

Etter at du har lagret, bekreft at den nye raden vises under Delt med dette arbeidsområdet, og at OAuth-klient for arbeidsområdet viser Konfigurert.

Hva dette oppsettet gjør:

• Hjelper medlemmer med å finne den godkjente serveren.

• Lagrer OAuth-klienthemmeligheten én gang i den krypterte lagringen for tilkoblinger i Notion.

• Sikrer at medlemmer logger på med server-URL-en, klienten og omfangene du har godkjent.

• Oppretter ikke en delt Snowflake-økt og omgår ikke Snowflakes tilgangskontroller.

• Kobler ikke til hvert medlem automatisk. Hver person må logge på separat.

Hvis du fjerner dette oppsettet, kan ikke nye medlemmer lenger finne serveren. Eksisterende tilkoblinger kan fortsatt vises, så koordiner denne endringen med tilbakekalling av Snowflake-tilganger og fjerning av eksisterende tilkoblinger.

Når administratorene har klargjort Snowflake MCP-tilkoblingen, kan du bruke den på to måter. Setter du den opp for et team? Start med 11A. Vil du bare stille egne spørsmål? Gå til 11B. Du kan også gjøre begge deler. Dette er separate tilkoblinger.

En skreddersydd agent gir teamet ditt ett sted å stille spørsmål om Snowflake-data. Du kobler til Snowflake én gang, legger til instruksjoner om måltall og tabeller, og deler agenten med teamet ditt. Alle som bruker den, må logge på Snowflake med sin egen påloggingsinformasjon, slik at hver person kun får svar basert på dataene de har tilgang til å se.

Koble Snowflake til en skreddersydd agent

1. Åpne den skreddersydde agenten din, eller opprett en ny.

2. Gå til Innstillinger → Verktøy og tilgang.

3. Velg Legg til tilkobling, og velg deretter Snowflake-serveren merket Administrert av arbeidsområdet. Ikke velg Tilpasset MCP-server eller skriv inn server-URL-en manuelt.

4. Logg på Snowflake i nettleseren din. Organisasjonens vanlige Okta- eller SSO-pålogging kan dukke opp.

5. Se gjennom og godkjenn Snowflake-rollen du blir bedt om å bruke.

6. Velg hvilke verktøy agenten kan bruke. La verktøy med skrivetilgang og CORTEX_AGENT_RUN være satt til å be om godkjenning til du har testet dem.

7. Velg Koble til, og bekreft at tilkoblingen vises som Tilkoblet.

Gi agenten kontekst

Tilkoblingen gir agenten tilgang til Snowflake. Instruksjonene dine forteller agenten hvordan bedriften bruker dataene. Beskriv hvilke verktøy agenten skal bruke til ulike spørsmål, hvordan teamet definerer nøkkeltall, og hvilke tabeller eller semantiske visninger agenten skal starte med. Noen få kvalitetssikrede eksempelspørsmål er til stor hjelp. Se veiledningen for Data Scout-verktøysettet hvis du vil ha et ferdig utgangspunkt.

Dele agenten

Del agenten med teamet på samme måte som andre skreddersydde agenter. Første gang noen stiller agenten et spørsmål som krever Snowflake, må de logge på med sin egen Snowflake-konto. Ingen blir bedt om klient-ID eller klienthemmelighet.

Hvis du vil stille dine egne spørsmål i din egen chat, kobler du Snowflake til din Notion-agent. Du logger på med din egen Snowflake-konto, slik at agenten din bare får tilgang til det du selv har tilgang til.

1. Gå til Innstillinger → Notion KI.

2. Under MCP-servere velger du Legg til MCP-server.

3. Velg Snowflake-serveren merket Administrert av arbeidsområdet. Ikke velg Tilpasset MCP-server eller skriv inn server-URL-en manuelt.

4. Velg Koble til.

5. Logg på Snowflake i nettleseren din. Organisasjonens vanlige Okta- eller SSO-pålogging kan dukke opp.

6. Gjennomgå og godkjenn den forespurte Snowflake-rollen.

7. Når nettleseren spør om du vil åpne Notion, velger du Åpne Notion.

8. Bekreft at serverstatusen er Tilkoblet, ikke Krever autentisering.

Etter at du har koblet til, vises Snowflake under Alle kilder → MCP-servere i chatten.

1. Still et ufarlig spørsmål med et kjent svar som agenten bør bruke Snowflake til å besvare.

2. Bekreft at agenten bruker Snowflake og returnerer et resultat.

3. Bekreft at du ikke kan få tilgang til data utenfor rollen du har fått tildelt.

Hvis du har satt opp en skreddersydd agent, kan du også be en kollega med en mer begrenset Snowflake-rolle om å prøve den. Kollegaen skal bare se sine egne data, ikke dine. Slik sjekker du raskt at agenten bruker tilgangen til hver enkelt, ikke tilgangen til den som bygde den.

For en grundigere sjekk, be Snowflake-administratoren din om å bekrefte brukeren, rollen, det virtuelle datavarehuset og spørringshistorikken din. En vellykket pålogging bekrefter identiteten din, men den bekrefter ikke at alle tilgangstillatelser er riktige.

Still agenten et konkret spørsmål om Snowflake-dataene dine. For eksempel:

• «Fra Snowflake, hvor mange registreringer hadde vi totalt forrige måned?»

• «Fra Snowflake, hvilke ti kundekontoer ga oss høyest omsetning dette kvartalet?»

Med en skreddersydd agent kan du vanligvis hoppe over «fra Snowflake» når instruksjonene gjør det tydelig når den skal brukes. Med Notion-agenten din hjelper det å nevne Snowflake slik at agenten velger riktig kilde.

Store forespørsler kan ta lengre tid eller overskride tidsgrensen. Hvis det skjer, still et mer avgrenset spørsmål eller del forespørselen opp i mindre spørsmål.

Som regel forblir du tilkoblet uten å gjøre noe. Snowflake bruker kortlivede tilgangstokener, og Notion oppdaterer dem i bakgrunnen. Et utløpende tilgangstoken i seg selv vil ikke koble deg fra.

Du må logge på igjen hvis:

• Oppdateringstokenet ditt utløper eller en administrator tilbakekaller det

• En administrator erstatter OAuth-integrasjonen eller klienthemmeligheten

• Snowflake-rollen din fjernes

• En administrator fjerner arbeidsområdeoppsettet eller tilkoblingen din

• En nettverkspolicy blokkerer token-oppdateringen

Med en skreddersydd agent er hver persons pålogging separat. Hvis én person blir bedt om å logge på igjen, påvirker det ikke noen andre, og personen som bygde agenten trenger ikke å gjøre noe.

Hvis du roterer klienthemmeligheten: Bruk Snowflakes rotasjon med to hemmeligheter i stedet for å erstatte integrasjonen. Hold begge hemmelighetene gyldige lenge nok til å oppdatere og teste arbeidsområdeoppsettet før du faser ut den gamle.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• MCP-tilkoblingen til Snowflake vises ikke. Arbeidsområdets administrator har kanskje ikke lagt den til ennå, eller arbeidsområdet kan begrense egendefinerte servere. Be administratoren om hjelp.

• Du blir bedt om en klient-ID eller klienthemmelighet. Du valgte sannsynligvis alternativet for tilpasset MCP-server. Gå tilbake og velg Snowflake-serveren merket Administrert av arbeidsområdet i stedet.

• Du blir bedt om å logge på igjen. Snowflake-økten din kan ha utløpt, eller en administrator kan ha oppdatert tilkoblingen. Logg på Snowflake igjen.

• Du åpnet en skreddersydd agent, og den ba deg logge på Snowflake. Det er normalt første gang. Alle som bruker en administrert skreddersydd agent, må logge på med sin egen påloggingsinformasjon for Snowflake.

• En teamkollega får andre resultater fra den samme skreddersydde agenten. Det er normalt. Agenten bruker hver persons Snowflake-tilgang, så personer med ulike roller ser ulike data.

• Den skreddersydde agenten fungerer i chat, men ikke etter en tidsplan. Planlagte og utløste kjøringer har ingen pålogget person, så de kan foreløpig ikke bruke Snowflake med pålogging per person.

• Du har logget på, men får ikke koblet til, eller verktøyene fungerer ikke. Pålogging bekrefter hvem du er, men tilgangen din avhenger fortsatt av rettighetene du har fått i Snowflake. Be Snowflake-administratoren sjekke at rollen din gir tilgang til serveren, datavarehuset, agenten og dataene.

• Agenten finner ikke en tabell. Agenten kan bare hente data som Snowflake-kontoen din har tilgang til. Sjekk tilgangene dine i Snowflake, og skriv tabellnavnet i spørsmålet.

• Forespørselen får tidsavbrudd. Still et mer spesifikt spørsmål, eller del opp forespørselen i mindre spørsmål.

Disse feilene skyldes vanligvis innstillinger i Snowflake, ikke Notion. Del feilmeldingene med Snowflake-administratoren din.

• Server-URL-en ser ut til å være doblet, som https://https%3A... Adressen ble limt inn med en ekstra https:// foran. Rett den slik at URL-en bare starter med én https://.

• Du ser «This server does not support OAuth authentication.» Sikkerhetsintegrasjonen er ikke satt opp for OAuth, eller server-URL-en er feil. Be Snowflake-administratoren din om å sjekke OAuth-sikkerhetsintegrasjonen og server-URL-en.

• Du ser invalid_client mens du logger på eller oppdaterer. Klient-ID-en eller klienthemmeligheten er feil, eller klienthemmeligheten er endret. Be administratoren din om gjeldende klient-ID og klienthemmelighet.

• Du får logget på, men får en feil med én gang. Rollen din har kanskje ikke tilgang til serveren, eller en rolle eller nettverksregel blokkerer økten. Be administratoren din om å sjekke tilgangene og retningslinjene dine.

• Du ser «The role ALL requested has been explicitly blocked.» Tilkoblingen ba om alle roller samtidig (session:role:all), noe som er blokkert. Bruk én bestemt rolle i stedet, for eksempel session:role:analyst, med det faktiske rollenavnet ditt.

• Du ser en omdirigeringsfeil (feil 390307). Omdirigerings-URL-en som er lagret i Snowflake, samsvarer ikke med den Notion bruker. Be administratoren din om å sette omdirigerings-URL-en på sikkerhetsintegrasjonen til den nøyaktige Notion-verdien.

• Du ser feil 390311 om en ugyldig kodeutfordring. Dette er en PKCE-samsvarsfeil. Be administratoren din om å bekrefte at OAUTH_ENFORCE_PKCE er satt riktig på sikkerhetsintegrasjonen.

• Du er tilkoblet, men ingen verktøy vises. Rollen din mangler kanskje USAGE på MCP-serveren. Be administratoren din om å bekrefte tilgangen, og kjør deretter DESCRIBE MCP SERVER for å sjekke oppsettet.

• Du har tilgang til mer eller mindre data enn du forventet. Sekundære roller endrer hva økten din kan se. Sjekk hvilke roller som er aktive i økten din sammen med administratoren din.

• Det fungerte før, men nå fungerer det ikke for noen etter at klienthemmeligheten ble endret. Klienthemmeligheten ble byttet ut, så den lagrede tilkoblingen er utdatert. Be administratoren din om den nye klienthemmeligheten, og koble til på nytt.

• Det fungerte før, men nå feiler det bare for deg. En rolle, tillatelse eller retningslinje kan ha endret seg, eller økten din har utløpt. Logg på igjen, og be deretter administratoren din om å bekrefte at tilgangen din ikke har endret seg.

• Kontoidentifikatoren din blir avvist. Bruk organisasjon-konto-formatet med bindestrek, som myorg-myaccount, ikke punktum.

• En PrivateLink-konto kan ikke koble til. PrivateLink-kontoer krever ekstra nettverksoppsett. Spør administratoren din om PrivateLink tillater Notion-tilkoblingen.

• Snowflake er ikke tilgjengelig i planlagte eller utløste kjøringer. Disse kjøringene har ingen pålogget person, så de kan ikke bruke personlig pålogging ennå. Kjør forespørselen din i chatten i stedet.

• Du ser oauth_security_error etter å ha logget på via nettleseren. En nettverkspolicy på kontonivå kan blokkere forespørselen. Administratoren din kan bekrefte dette ved å kjøre:

• Innlogging ser ut til å fungere, men du får en rollefeil, selv med riktig tilgangsomfang. Standardrollen din kan være blokkert, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Administratoren din kan sjekke og fikse dette:

Disse skrivebeskyttede kommandoene hjelper administratoren din med å bekrefte oppsettet uten å endre noe. Kjør dem i Snowflake.

Bruk disse Snowflake-veiledningene for å fullføre oppsettet:

• Snowflake-administrert MCP-server

• Opprette en sikkerhetsintegrasjon for Snowflake OAuth

• Snowflake OAuth for tilpassede klienter

• Oversikt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Skreddersydde agenter

• MCP-tilkoblinger for Skreddersydde agenter

• Koble MCP-servere til Notion-agenten din

• Beste praksis for sikkerhet ved agenttilkoblinger