De Snowflake-MCP voor Notion instellen

Je Aangepaste agents en Notion-agent kunnen verbinding maken met Snowflake via een MCP (Model Context Protocol)-server die Snowflake beheert. Zodra alles is ingesteld, kun je je agent vragen stellen over je Snowflake-warehousegegevens en krijg je direct antwoord in Notion.

Het instellen gebeurt in fasen. Voor elke fase is iemand anders verantwoordelijk:

• Een Snowflake-beheerder stelt de rol, het warehouse en de door Snowflake beheerde MCP-server in.

• Een eigenaar of beheerder van een Notion-workspace configureert de Snowflake-MCP-verbinding voor de workspace.

• Workspaceleden kunnen vervolgens vanuit Aangepaste agents met hun eigen Snowflake-inloggegevens verbinding maken met de Snowflake-MCP, of Snowflake rechtstreeks koppelen aan hun Notion-agent. De stappen 1–10 van dit artikel zijn voor beide routes hetzelfde. De routes splitsen zich bij stap 11, afhankelijk van welke agent je wilt koppelen.

• De beschikbare tools kunnen variëren per Snowflake-cloudregio.

• De beheerde MCP-server van Snowflake is niet beschikbaar op het vasteland van China of in overheidsregio's.

• Je Notion-workspace moet een Business- of Enterprise-abonnement hebben.

• Gebruik Notion op het web of op desktop. Deze functie is niet beschikbaar op mobiel.

• Je bedrijf heeft een Snowflake-account nodig.

• Om een Aangepaste agent te bouwen, heb je de machtiging nodig om agents in je workspace aan te maken.

Voordat je team Snowflake met Notion kan verbinden, moet een Snowflake-beheerder de toegang instellen. Dit is de meest uitgebreide stap en je hoeft deze slechts één keer uit te voeren. Werk samen met je Notion-workspacebeheerder: Notion verstrekt een redirect-URI en Snowflake verstrekt een OAuth-client-ID en -secret.

Je stelt een rol en warehouse in, maakt de door Snowflake beheerde MCP-server aan, verleent deze toegang tot de benodigde resources, configureert het OAuth-bereik en de beveiligingsintegratie en voegt een netwerkbeleid toe als je organisatie dit vereist.

Vul dit werkblad in met je Notion-workspacebeheerder voordat je begint. Leden kunnen dit overslaan en inloggen met hun eigen Snowflake-accounts zodra de installatie is voltooid.

De hostnaam van het account gebruikt koppeltekens, geen underscores. Zorg ervoor dat elke objectnaam in de server-URL overeenkomt met de bijbehorende objectnaam in Snowflake.

Gebruik waar mogelijk een toegewezen rol met minimale rechten en één goedgekeurd warehouse.

Beperkte rol zonder secundaire rollen (aanbevolen). Dit model is eenvoudiger te begrijpen en te controleren. Stel OAUTH_USE_SECONDARY_ROLES = NONE in, specificeer ALLOWED_ROLES_LIST en gebruik het Notion-bereik session:role:<mcp_access_role>.

De standaard secundaire rollen van een gebruiker (optioneel). Gebruik dit model alleen wanneer de server privileges nodig heeft die zijn overgenomen van de DEFAULT_SECONDARY_ROLES van elke gebruiker in Snowflake. Stel OAUTH_USE_SECONDARY_ROLES = IMPLICIT in, laat ALLOWED_ROLES_LIST weg en gebruik een expliciet bereik voor de primaire rol. Snowflake staat geen IMPLICIT secundaire rollen toe met ALLOWED_ROLES_LIST, dus laat de allowlist weg wanneer je dit model gebruikt.

Gebruik waar mogelijk een specifieke rol met minimale rechten voor de MCP-server.

Verleen deze rol via je gebruikelijke proces voor identiteitsbeheer. Als Okta of SCIM beheert wie een Snowflake-rol heeft, voeg dan geen gebruikers handmatig toe buiten dat proces om.

Maak of kies een database en een schema die eigendom zijn van het team dat de server gaat beheren.

Voor zakelijke vragen waarbij controle nodig is, kun je een Cortex Agent beschikbaar stellen als tool voor leden. Zo blijven semantische weergaven, geverifieerde query's, Snelzoeken en orkestratie op één plek. Een Cortex Agent is optioneel. Maak je er een, gebruik dan de onderstaande specificatie. Vervang je een bestaande agent, zorg dan dat de nieuwe aan de goedgekeurde specificatie voldoet.

Andere ondersteunde Snowflake MCP-tooltypen zijn onder andere CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC en SYSTEM_EXECUTE_SQL.

Geef elke tool een duidelijke naam en beschrijving. Leg uit welke gegevens de tool gebruikt, hoe gedetailleerd de resultaten zijn en wanneer je de tool gebruikt. Zo kan de agent de juiste tool kiezen.

Het USAGE-privilege op een MCP-server stelt een rol in staat om verbinding te maken met de server en de tools ervan te ontdekken. Het geeft de rol geen toegang tot het warehouse, de agent, de semantische weergave, de Snelzoeken-service, de opgeslagen procedure of de onderliggende gegevens. Verleen de rol toegang tot elke resource die de tools van de server nodig hebben.

Verleen alleen toegang tot de aanvullende resources die elke tool nodig heeft. Verleen bijvoorbeeld SELECT op een goedgekeurde semantische weergave, USAGE op een Cortex Search-service of USAGE op een specifieke functie of procedure. Wijs de rol niet toe aan PUBLIC en voeg geen brede privileges toe voor huidige of toekomstige objecten.

Controleer de MCP-server en de bijbehorende rechten voordat je OAuth instelt:

Configureer het MCP-schema zodat het de precieze rol toont die leden moeten aanvragen:

Gebruik een expliciet rolbereik. Gebruik niet session:role:all. Snowflake behandelt die waarde als de standaard primaire rol van de gebruiker, niet als toegang tot elke rol, en beleidsregels voor bevoorrechte rollen kunnen dit blokkeren. Een expliciete rol maakt de aangevraagde toegang duidelijk en gemakkelijker te controleren.

Stem af met de beheerder van je Notion-workspace voordat je deze SQL uitvoert. Vraag de beheerder om de Snowflake-server-URL in te voeren in het MCP-instellingenformulier van de workspace en Authenticatie handmatig configureren en Een gedeelde OAuth-client voor de workspace gebruiken in te schakelen. Notion genereert een redirect-URI. Kopieer die en stuur die naar de Snowflake-beheerder. Zodra Snowflake de client-ID en het secret heeft aangemaakt, kan de workspacebeheerder de verbinding verder instellen.

Gebruik de redirect-URI precies zoals Notion deze verstrekt. Voeg geen afsluitende slash of queryparameters toe en wijzig de host niet.

Met IS_AGENTIC = TRUE worden sessies die via deze integratie zijn aangemaakt, gemarkeerd als agentsessies. De Snowflake-functie IS_AGENT_ACTIVATED() geeft dan TRUE terug. Zo kan Snowflake agentspecifieke auditing en governance toepassen. Gebruik je het optionele model met secundaire rollen? Stel dan OAUTH_USE_SECONDARY_ROLES = IMPLICIT in en laat ALLOWED_ROLES_LIST weg.

De waarde 7776000 voor de geldigheidsduur van het refresh-token staat gelijk aan 90 dagen. Controleer voordat je die gebruikt of de waarde past bij het beleid van je organisatie voor herautorisatie en tokenrotatie. Gebruik CREATE OR REPLACE SECURITY INTEGRATION liever niet voor routinewijzigingen. Als je de integratie vervangt, kunnen bestaande verbindingen worden onderbroken.

Voer het volgende uit om de integratie te controleren zonder het secret weer te geven:

Bevestig dat de integratie is ingeschakeld, de redirect-URI exact overeenkomt, de rol is toegestaan en niet geblokkeerd, refresh-tokens en PKCE zijn ingeschakeld, en zowel de autorisatie- als token-endpoints de openbare account-host van Snowflake gebruiken.

Deze stap is alleen nodig als je organisatie een netwerkbeleid vereist. Vraag de verantwoordelijke voor beveiliging of het netwerk om de huidige uitgaande IP-bereiken van Notion goed te keuren.

De OAuth-integratie moet beide Notion-paden toestaan:

1. het API-pad dat OAuth-callbacks afhandelt en autorisatiecodes uitwisselt

2. het runtime-pad van de workspace dat de verbinding valideert, tools uitvoert en tokens ververst

Deze paden kunnen verschillende uitgaande IP-adressen van Notion gebruiken. Als je alleen het adres toestaat dat bij de eerste tokenuitwisseling is gebruikt, kan aanmelden lukken terwijl validatie of tokenverversing mislukt. Gebruik de huidige, goedgekeurde uitgaande IP-bereiken van Notion. Voeg geen eenmalig IP-adres uit een browser of log toe aan een productielijst met toegestane IP-adressen.

Koppel dit netwerkbeleid aan de OAuth-integratie, niet aan individuele gebruikers. Wijzig het accountbrede beleid voor aanmelden via de browser, VPN-toegang of netwerktoegang voor gebruikers niet. Als een netwerkbeleid een tokenverzoek blokkeert, kan Snowflake invalid_client retourneren. Deze fout betekent niet per se dat de client-ID of het secret onjuist is.

Voer dit uit in een beveiligd Snowflake-werkblad. De integratienaam is hoofdlettergevoelig en is meestal in hoofdletters:

Deel de client-ID en het bijbehorende secret met de beheerder van je Notion-workspace via een goedgekeurd beveiligd kanaal. Snowflake biedt twee geldige secrets, zodat je ze zonder onderbreking kunt roteren. Plak geen van beide secrets in documentatie, chats, tickets of broncodebeheer.

Zodra Snowflake klaar is, voegt een workspace-eigenaar of -beheerder de server één keer toe voor de workspace. Leden kunnen de server dan vinden zonder het OAuth-clientsecret te zien, of ze de Snowflake-MCP-server nu koppelen aan een Aangepaste agent of aan hun eigen Notion-agent.

1. Ga naar Instellingen voor de workspace.

2. Selecteer Koppelingen → Met workspace gedeelde MCP's.

3. Selecteer Nieuwe workspace-MCP.

Vul deze velden in en selecteer vervolgens MCP-server toevoegen:

Controleer na het opslaan of de nieuwe rij onder Gedeeld met deze workspace verschijnt en of Workspace-OAuth-client de status Geconfigureerd toont.

Wat deze configuratie doet:

• Helpt leden de goedgekeurde server te vinden.

• Slaat het OAuth-clientsecret eenmalig op in de versleutelde opslag voor koppelingen van Notion.

• Zorgt ervoor dat leden zich aanmelden met de server-URL, client en bereiken die je hebt goedgekeurd.

• Maakt geen gedeelde Snowflake-sessie aan en omzeilt de toegangscontroles van Snowflake niet.

• Koppelt leden niet automatisch. Iedereen moet zich afzonderlijk aanmelden.

Als je deze configuratie verwijdert, kunnen nieuwe leden de server niet meer vinden. Bestaande verbindingen kunnen nog zichtbaar zijn. Stem deze wijziging daarom af op het intrekken van Snowflake-toegangsrechten en het verwijderen van bestaande verbindingen.

Zodra je beheerders de Snowflake-MCP-verbinding hebben ingesteld, kun je die op twee manieren gebruiken. Stel je dit in voor een team? Begin dan bij 11A. Wil je alleen zelf vragen stellen? Ga dan naar 11B. Je kunt ook beide doen: het zijn aparte verbindingen.

Met een Aangepaste agent kan je team op één plek vragen stellen over Snowflake-gegevens. Je koppelt Snowflake één keer, voegt instructies toe over je statistieken en tabellen en deelt de agent met je team. Iedereen die de agent gebruikt, moet met eigen inloggegevens aanmelden bij Snowflake. Zo krijgt iedereen alleen antwoorden op basis van gegevens waartoe diegene toegang heeft.

Snowflake koppelen aan een Aangepaste agent

1. Open je Aangepaste agent of maak een nieuwe aan.

2. Ga naar Instellingen → Tools en toegang.

3. Selecteer Koppeling toevoegen en kies vervolgens de Snowflake-server met het label Workspace Managed. Selecteer niet Aangepaste MCP-server en voer de server-URL niet handmatig in.

4. Log in bij Snowflake in je browser. De gebruikelijke Okta- of SSO-inlogpagina van je organisatie kan verschijnen.

5. Controleer en keur de gevraagde Snowflake-rol goed.

6. Kies welke tools de agent mag gebruiken. Laat tools waarmee de agent gegevens kan wijzigen en CORTEX_AGENT_RUN ingesteld staan op 'Om goedkeuring vragen' totdat je ze hebt getest.

7. Selecteer Koppelen en bevestig dat de koppeling wordt weergegeven als Gekoppeld.

De agent context geven

De koppeling geeft de agent toegang tot Snowflake. Je instructies vertellen de agent hoe je bedrijf die gegevens gebruikt. Beschrijf in de instructies van de agent welke tools voor welke soorten vragen moeten worden gebruikt, hoe je team belangrijke statistieken definieert en van welke tabellen of semantische weergaven moet worden uitgegaan. Een paar geverifieerde voorbeeldvragen helpen enorm. Bekijk de handleiding voor de Data Scout-toolkit voor een kant-en-klaar startpunt.

De agent delen

Deel de agent met je team zoals je elke Aangepaste agent deelt. De eerste keer dat iemand de agent een vraag stelt waarvoor Snowflake nodig is, wordt diegene gevraagd om in te loggen met een eigen Snowflake-account. Er wordt niet gevraagd om een client-ID of secret.

Als je je eigen vragen in je eigen chat wilt stellen, koppel je Snowflake aan je Notion-agent. Je logt in met je eigen Snowflake-account, zodat je agent alleen toegang heeft tot wat jij mag zien.

1. Ga naar Instellingen → Notion AI.

2. Selecteer onder MCP-servers de optie MCP-server toevoegen.

3. Selecteer de Snowflake-server met het label Workspace Managed. Selecteer niet Custom MCP server en voer de server-URL niet handmatig in.

4. Selecteer Koppelen.

5. Log in bij Snowflake in je browser. De gebruikelijke Okta- of SSO-inlogpagina van je organisatie kan verschijnen.

6. Controleer en keur de gevraagde Snowflake-rol goed.

7. Wanneer je browser vraagt of Notion moet worden geopend, selecteer je Open Notion.

8. Bevestig dat de serverstatus Verbonden is en niet Authenticatie vereist.

Nadat je verbinding hebt gemaakt, verschijnt Snowflake in Alle bronnen → MCP-servers in de chat.

1. Stel een onschadelijke vraag met een bekend antwoord waarvoor Snowflake zou moeten worden gebruikt.

2. Bevestig dat de agent Snowflake gebruikt en een resultaat retourneert.

3. Bevestig dat je geen toegang hebt tot gegevens buiten de rol die je hebt gekregen.

Als je een Aangepaste agent instelt, vraag dan ook een teamgenoot met een beperktere Snowflake-rol om het te proberen. Die teamgenoot ziet alleen eigen gegevens, niet die van jou. Zo controleer je snel of de agent ieders eigen toegang gebruikt in plaats van die van de maker.

Vraag voor een grondigere controle aan je Snowflake-beheerder om je gebruiker, rol, warehouse en querygeschiedenis te bevestigen. Een succesvolle aanmelding bevestigt je identiteit, maar bevestigt niet dat elke toekenning correct is.

Stel de agent een specifieke vraag over je Snowflake-gegevens. Bijvoorbeeld:

• ‘Wat waren volgens Snowflake onze totale aanmeldingen vorige maand?’

• ‘Welke 10 accounts hadden volgens Snowflake dit kwartaal de hoogste omzet?’

Bij een Aangepaste agent kun je ‘vanuit Snowflake’ meestal weglaten zodra de instructies duidelijk maken wanneer Snowflake moet worden gebruikt. Bij je Notion-agent helpt het benoemen van Snowflake de agent om de juiste bron te kiezen.

Grote verzoeken kunnen langer duren of een time-out veroorzaken. Als dat gebeurt, stel dan een specifiekere vraag of splits het verzoek op in kleinere vragen.

Meestal blijf je verbonden zonder dat je iets hoeft te doen. Snowflake gebruikt toegangstokens met een korte levensduur en Notion ververst deze op de achtergrond. Een verlopend toegangstoken zorgt er op zichzelf niet voor dat de verbinding wordt verbroken.

Je moet opnieuw inloggen als:

• Je refreshtoken verloopt of een beheerder trekt het in

• Een beheerder vervangt de OAuth-integratie of het client-secret

• Je Snowflake-rol wordt verwijderd

• Een beheerder verwijdert de workspace-instelling of je verbinding

• Een netwerkbeleid blokkeert de tokenvernieuwing

Bij een Aangepaste agent is de aanmelding van elke persoon afzonderlijk. Als één persoon opnieuw moet inloggen, heeft dat geen invloed op anderen en hoeft de maker van de agent niets te doen.

Als je het client-secret vervangt: Gebruik Snowflakes rotatie met twee secrets in plaats van de integratie te vervangen. Houd beide secrets lang genoeg geldig om de workspace-instelling bij te werken en te testen voordat je het oude secret intrekt.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• De Snowflake-MCP-verbinding staat niet in de lijst. Je workspacebeheerder heeft deze mogelijk nog niet toegevoegd, of je workspace staat aangepaste servers mogelijk niet toe. Vraag je beheerder om hulp.

• Je wordt gevraagd om een client-ID of secret. Je hebt waarschijnlijk de optie voor een aangepaste MCP-server gekozen. Ga terug en kies de Snowflake-server met de aanduiding Workspace Managed.

• Je wordt gevraagd om opnieuw in te loggen. Je Snowflake-sessie is mogelijk verlopen of een beheerder heeft de verbinding bijgewerkt. Log opnieuw in bij Snowflake.

• Je hebt een Aangepaste agent geopend en werd gevraagd om in te loggen bij Snowflake. Dat is de eerste keer normaal. Iedereen die een beheerde Aangepaste agent gebruikt, moet inloggen met eigen Snowflake-inloggegevens.

• Een teamgenoot krijgt andere resultaten van dezelfde Aangepaste agent. Dat is te verwachten. De agent gebruikt ieders eigen Snowflake-toegang, dus mensen met verschillende rollen zien verschillende gegevens.

• De Aangepaste agent werkt in de chat, maar niet volgens een schema. Geplande uitvoeringen en uitvoeringen via een trigger hebben geen ingelogde gebruiker en kunnen Snowflake daarom nog niet gebruiken met individuele aanmeldingen.

• Je bent ingelogd, maar er wordt geen verbinding gemaakt of de tools werken niet. Inloggen bevestigt je identiteit, maar je toegang hangt nog steeds af van je rechten in Snowflake. Vraag je Snowflake-beheerder om te bevestigen dat je rol toegang heeft tot de server, het warehouse, de agent en de gegevens.

• De agent kan geen tabel vinden. De agent kan alleen de gegevens bereiken waar je Snowflake-account toegang toe heeft. Controleer je Snowflake-machtigingen en voeg de tabelnaam toe aan je vraag.

• Bij een verzoek treedt een time-out op. Stel een specifiekere vraag of splits je verzoek op in kleinere vragen.

Deze fouten komen meestal voort uit Snowflake-instellingen, niet uit Notion. Deel ze met je Snowflake-beheerder.

• De server-URL lijkt dubbel, zoals https://https%3A... Het adres is geplakt met een extra https:// ervoor. Corrigeer dit zodat de URL met slechts één https:// begint.

• Je ziet ‘This server does not support OAuth authentication.’ De beveiligingsintegratie is niet ingesteld voor OAuth, of de server-URL is onjuist. Vraag je Snowflake-beheerder om de OAuth-beveiligingsintegratie en de server-URL te controleren.

• Je ziet invalid_client tijdens het inloggen of vernieuwen. De client-ID of het secret is onjuist, of het secret is gewijzigd. Vraag je beheerder om de huidige client-ID en het secret.

• Aanmelden werkt, maar mislukt direct daarna. Je rol kan de server mogelijk niet bereiken, of een rol of netwerkregel blokkeert de sessie. Vraag je beheerder om je rechten en beleidsregels te controleren.

• Je ziet 'The role ALL requested has been explicitly blocked.' De verbinding vroeg om alle rollen tegelijk (session:role:all), maar dat is geblokkeerd. Gebruik één specifieke rol, zoals session:role:analyst, met je echte rolnaam.

• Je ziet een omleidingsfout (fout 390307). De omleidings-URL die in Snowflake is opgeslagen, komt niet overeen met de URL die Notion gebruikt. Vraag je beheerder om de omleidings-URL in de beveiligingsintegratie in te stellen op de exacte waarde die Notion gebruikt.

• Je ziet fout 390311 over een ongeldige code challenge. De PKCE-instellingen komen niet overeen. Vraag je beheerder om te controleren of OAUTH_ENFORCE_PKCE goed is ingesteld in de beveiligingsintegratie.

• Je bent verbonden, maar er verschijnen geen tools. Je rol heeft mogelijk geen USAGE-recht op de MCP-server. Vraag je beheerder dit te controleren en voer daarna DESCRIBE MCP SERVER uit om de configuratie te controleren.

• Je hebt toegang tot meer of minder gegevens dan verwacht. Secundaire rollen bepalen mede welke gegevens je in je sessie kunt zien. Controleer samen met je beheerder welke rollen actief zijn in je sessie.

• Eerst werkte het, maar na een wijziging van het secret werkt het voor niemand meer. Het clientsecret is vervangen, waardoor de opgeslagen verbinding verouderd is. Vraag je beheerder om het nieuwe secret en maak opnieuw verbinding.

• Eerst werkte het, maar nu lukt het alleen bij jou niet meer. Een rol, recht of beleidsregel is mogelijk gewijzigd, of je sessie is verlopen. Meld je opnieuw aan en vraag je beheerder te controleren of je toegang niet is gewijzigd.

• Je account-ID wordt geweigerd. Gebruik de indeling organization-account met een koppelteken, zoals myorg-myaccount, en niet met punten.

• Een PrivateLink-account kan geen verbinding maken. PrivateLink-accounts hebben extra netwerkinstellingen nodig. Vraag je beheerder of PrivateLink de verbinding met Notion toestaat.

• Snowflake is niet beschikbaar voor geplande uitvoeringen of uitvoeringen die door een trigger zijn gestart. Daarbij is niemand aangemeld, dus aanmelden per persoon is nog niet mogelijk. Voer je verzoek in plaats daarvan uit in de chat.

• Je ziet oauth_security_error na het aanmelden via de browser. Een netwerkbeleid op accountniveau blokkeert mogelijk het verzoek. Je beheerder kan dit controleren met:

• Aanmelden lijkt te werken, maar je krijgt een rolfout, zelfs met de juiste scope. Je standaardrol is mogelijk geblokkeerd, bijvoorbeeld ACCOUNTADMIN of een rol in BLOCKED_ROLES_LIST. Je beheerder kan dit controleren en oplossen:

Deze opdrachten met alleen leestoegang helpen je beheerder de configuratie te controleren zonder iets te wijzigen. Voer ze uit in Snowflake.

Gebruik deze Snowflake-handleidingen om de configuratie te voltooien:

• Door Snowflake beheerde MCP-server

• Een Snowflake OAuth-beveiligingsintegratie maken

• Snowflake OAuth voor aangepaste clients

• Overzicht van Snowflake OAuth

• Snowflake-account-id's

• Aangepaste agents

• MCP-koppelingen voor aangepaste agents

• MCP-servers aan je Notion-agent koppelen

• Tips voor veilige agentkoppelingen