Konfigurera Snowflake MCP för Notion

Dina skräddarsydda agenter och Notion-agent kan ansluta till Snowflake via en MCP (Model Context Protocol)-server som Snowflake kör. När den är konfigurerad kan du fråga din agent om data i ditt Snowflake-datalager och få svar direkt i Notion.

Konfigurationen sker i etapper, och olika personer ansvarar för varje del:

• En Snowflake-administratör ställer in rollen, det virtuella datalagret och den Snowflake-hanterade MCP-servern.

• En ägare eller administratör för en Notion-arbetsyta konfigurerar Snowflake MCP-anslutningen för arbetsytan.

• Arbetsytemedlemmar kan sedan ansluta till Snowflake MCP från skräddarsydda agenter med sina egna Snowflake-uppgifter, eller ansluta Snowflake direkt till sin Notion-agent. Steg 1–10 i den här artikeln är desamma för båda alternativen. Alternativen skiljer sig åt från steg 11, beroende på vilken agent du vill ansluta.

• De tillgängliga verktygen kan variera beroende på din Snowflake-molnregion.

• Snowflakes hanterade MCP-server är inte tillgänglig på det kinesiska fastlandet eller i regioner för myndigheter.

• Din Notion-arbetsyta måste vara på ett Business- eller Enterprise-abonnemang.

• Använd Notion på webben eller på datorn. Den här funktionen är inte tillgänglig på mobilen.

• Ditt företag behöver ett Snowflake-konto.

• För att bygga en skräddarsydd agent behöver du behörighet att skapa agenter i din arbetsyta.

Innan ditt team kan ansluta Snowflake till Notion måste en Snowflake-administratör ställa in åtkomst. Detta är det mest omfattande steget, och du behöver bara göra det en gång. Samarbeta med administratören för din Notion-arbetsyta: Notion tillhandahåller en omdirigerings-URI, och Snowflake tillhandahåller ett OAuth-klient-ID och en klienthemlighet.

Du kommer att konfigurera en roll och ett virtuellt datalager, skapa den Snowflake-hanterade MCP-servern, ge den åtkomst till de resurser den behöver, konfigurera OAuth-omfånget och säkerhetsintegreringen samt lägga till en nätverkspolicy om din organisation kräver en.

Fyll i det här arbetsbladet tillsammans med administratören för din Notion-arbetsyta innan du börjar. Medlemmar kan hoppa över det och logga in med sina egna Snowflake-konton när allt är konfigurerat.

Kontots värdnamn innehåller bindestreck, inte understreck. Kontrollera att varje objektnamn i serverns webbadress stämmer överens med motsvarande objektnamn i Snowflake.

Använd en särskild roll med minsta möjliga behörighet och ett godkänt virtuellt datalager när det är möjligt.

Begränsad roll utan sekundära roller – rekommenderas. Den här modellen är enklare att förstå och granska. Ställ in OAUTH_USE_SECONDARY_ROLES = NONE, ange ALLOWED_ROLES_LIST och använd Notion-omfånget session:role:<mcp_access_role>.

Användarens förvalda sekundära roller – valfritt. Använd bara den här modellen när servern behöver behörigheter som användaren får genom DEFAULT_SECONDARY_ROLES i Snowflake. Ställ in OAUTH_USE_SECONDARY_ROLES = IMPLICIT, utelämna ALLOWED_ROLES_LIST och ange ett uttryckligt omfång för den primära rollen. Snowflake tillåter inte sekundära roller med IMPLICIT samtidigt som ALLOWED_ROLES_LIST används. Utelämna därför listan över tillåtna roller med den här modellen.

Använd en särskild roll med minsta möjliga behörighet för MCP-servern när det är möjligt.

Tilldela rollen enligt er vanliga process för identitetshantering. Om Okta eller SCIM styr vem som får Snowflake-roller ska du inte lägga till användare manuellt vid sidan av den processen.

Skapa eller välj en databas och ett schema som ägs av det team som ska köra servern.

För verksamhetsfrågor som kräver styrning kan du göra en Cortex Agent tillgänglig som verktyg för medlemmarna. Den samlar semantiska vyer, verifierade frågor, Snabbsökning och orkestrering på ett ställe. En Cortex Agent är valfri. Om du skapar en ska du använda specifikationen nedan. Om du ersätter en befintlig agent ska du se till att den nya följer den godkända specifikationen.

Andra verktygstyper som stöds av Snowflake MCP inkluderar CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC och SYSTEM_EXECUTE_SQL.

Ge varje verktyg ett tydligt namn och en beskrivning. Förklara vilka data det omfattar, hur detaljerade resultaten är och när du ska använda det. Det hjälper agenten att välja rätt verktyg.

Behörigheten USAGE på en MCP-server låter en roll ansluta till servern och se vilka verktyg den har. Den ger inte rollen åtkomst till det virtuella datalagret, agenten, den semantiska vyn, Search-tjänsten, lagrade procedurer eller underliggande data. Ge rollen åtkomst till varje resurs som serverns verktyg behöver.

Bevilja endast åtkomst till de ytterligare resurser som varje verktyg behöver. Bevilja till exempel SELECT på en godkänd semantisk vy, USAGE på en Cortex Search-tjänst eller USAGE på en specifik funktion eller procedur. Bevilja inte rollen till PUBLIC och lägg inte till breda privilegier för nuvarande eller framtida objekt.

Innan du konfigurerar OAuth, kontrollera MCP-servern och dess tilldelade behörigheter:

Konfigurera MCP-schemat så att det anger exakt vilken roll medlemmarna ska begära:

Använd ett explicit rollomfång. Använd inte session:role:all. Snowflake behandlar det värdet som användarens primära standardroll, inte som åtkomst till alla roller, och policyer för privilegierade roller kan blockera det. En explicit roll gör den begärda åtkomsten tydlig och lättare att kontrollera.

Innan du kör den här SQL-koden, stäm av med administratören för Notion-arbetsytan. Be administratören ange Snowflake-serverns webbadress i arbetsytans formulär för MCP-konfiguration och aktivera manuell autentisering och en OAuth-klient som delas inom arbetsytan. Notion genererar en omdirigerings-URI. Kopiera den och skicka den till Snowflake-administratören. När Snowflake har skapat klient-ID:t och klienthemligheten kan arbetsytans administratör slutföra konfigurationen av anslutningen.

Använd omdirigerings-URI:n exakt som Notion tillhandahåller den. Lägg inte till ett avslutande snedstreck eller frågeparametrar och ändra inte värdnamnet.

Att ställa in IS_AGENTIC = TRUE markerar sessioner som skapats genom denna integrering som agentsessioner. Snowflakes IS_AGENT_ACTIVATED()-funktion returnerar då TRUE, vilket gör att Snowflake kan tillämpa agentspecifik granskning och styrning. Om du använder den valfria modellen för sekundära roller, ställ in OAUTH_USE_SECONDARY_ROLES = IMPLICIT och utelämna ALLOWED_ROLES_LIST.

Giltighetsvärdet för uppdateringstoken på 7776000 sekunder motsvarar 90 dagar. Innan du använder det, bekräfta att det matchar organisationens policyer för omauktorisering och token-rotation. För rutinändringar, undvik CREATE OR REPLACE SECURITY INTEGRATION. Att ersätta integreringen kan avbryta befintliga anslutningar.

För att kontrollera integreringen utan att visa dess hemlighet, kör:

Bekräfta att integreringen är aktiverad, att omdirigerings-URI:n matchar exakt, att rollen är tillåten och inte blockerad, att uppdateringstokens och PKCE är aktiverade, och att både auktoriserings- och token-slutpunkterna använder Snowflakes offentliga kontovärd.

Det här steget behövs bara om organisationen kräver en nätverkspolicy. Be den som ansvarar för säkerhet eller nätverk att godkänna Notions aktuella intervall för utgående IP-adresser.

OAuth-integreringen måste tillåta båda Notion-sökvägarna:

1. API-sökvägen som hanterar OAuth-återanrop och utbyter auktoriseringskoder

2. sökvägen för arbetsytans körningsmiljö som validerar anslutningen, kör verktyg och uppdaterar tokens

Dessa sökvägar kan använda olika utgående IP-adresser hos Notion. Om du endast tillåter den adress som användes under det initiala tokenutbytet kan inloggningen lyckas, men validering eller uppdatering av token kan misslyckas. Använd Notions aktuella, godkända intervall för utgående IP-adresser. Lägg inte till en enskild IP-adress från en webbläsare eller logg i en tillåtelselista för produktion.

Koppla denna nätverkspolicy till OAuth-integreringen, inte till enskilda användare. Ändra inte dina kontoomfattande policyer för inloggning via webbläsare, VPN-åtkomst eller användares nätverksåtkomst. Om en nätverkspolicy blockerar en tokenbegäran kan Snowflake returnera invalid_client. Detta fel innebär inte nödvändigtvis att klient-ID:t eller hemligheten är felaktig.

Kör detta i ett säkert arbetsblad i Snowflake. Integreringsnamnet är skiftlägeskänsligt och skrivs vanligtvis med versaler:

Dela klient-ID:t och den tillhörande hemligheten med administratören för Notion-arbetsytan via en godkänd säker kanal. Snowflake tillhandahåller två giltiga hemligheter så att du kan byta dem utan driftstopp. Klistra aldrig in någon av hemligheterna i dokumentation, chatt, ärenden eller källkodshantering.

När Snowflake är redo lägger en ägare eller administratör för arbetsytan till servern för hela arbetsytan. Medlemmarna kan sedan hitta den utan att se OAuth-klienthemligheten, oavsett om de ansluter Snowflake-MCP till en skräddarsydd agent eller till sin egen Notion-agent.

1. Gå till inställningarna för arbetsytan.

2. Välj anslutningar → delade MCP-servrar för arbetsytan.

3. Välj ny MCP-server för arbetsytan.

Fyll i fälten och välj sedan lägg till MCP-server:

När du har sparat kontrollerar du att den nya raden visas under delas med den här arbetsytan och att arbetsytans OAuth-klient visas som konfigurerad.

Vad den här konfigurationen gör:

• Hjälper medlemmar att hitta den godkända servern.

• Lagrar OAuth-klienthemligheten en gång i Notions krypterade anslutningslagring.

• Ser till att medlemmarna loggar in med serverns webbadress, klienten och de omfång du har godkänt.

• Skapar inte en delad Snowflake-session och kringgår inte Snowflakes åtkomstkontroller.

• Ansluter inte varje medlem automatiskt. Varje person måste logga in separat.

Om du tar bort den här konfigurationen kan nya medlemmar inte längre hitta servern. Befintliga anslutningar kan fortfarande visas, så samordna denna ändring med att återkalla Snowflake-behörigheter och ta bort befintliga anslutningar.

När administratörerna har gjort Snowflake-MCP-anslutningen klar kan du använda den på två sätt. Om du ställer in den för ett team börjar du med 11A. Om du bara vill ställa egna frågor går du direkt till 11B. Du kan göra båda. Det är två separata anslutningar.

En skräddarsydd agent ger teamet en gemensam plats för frågor om Snowflake-data. Anslut Snowflake en gång, lägg till instruktioner om era mätvärden och tabeller och dela agenten med teamet. Alla som använder agenten måste logga in på Snowflake med egna inloggningsuppgifter. Då får var och en bara svar utifrån data som hen har åtkomst till.

Ansluta Snowflake till en skräddarsydd agent

1. Öppna din skräddarsydda agent, eller skapa en ny.

2. Gå till Inställningar → Verktyg och åtkomst.

3. Välj Lägg till anslutning och sedan Snowflake-servern märkt Hanteras av arbetsytan. Välj inte Anpassad MCP-server och ange inte serverns webbadress manuellt.

4. Logga in på Snowflake i din webbläsare. Din organisations vanliga Okta- eller SSO-inloggning kan visas.

5. Granska och godkänn den begärda Snowflake-rollen.

6. Välj vilka verktyg agenten kan använda. Låt verktyg som kan göra ändringar och CORTEX_AGENT_RUN vara inställda på att be om godkännande tills du har testat dem.

7. Välj Anslut och kontrollera att anslutningen visas som Ansluten.

Ge agenten sammanhang

Anslutningen ger agenten åtkomst till Snowflake. Dina instruktioner talar om för den hur ditt företag använder den datan. Beskriv i agentens instruktioner vilka verktyg som ska användas för vilka typer av frågor, hur ditt team definierar nyckeltal, och vilka tabeller eller semantiska vyer som ska användas som utgångspunkt. Några verifierade exempelfrågor räcker långt. För en färdig startpunkt, se guiden för Data Scout-verktygslådan.

Dela agenten

Dela agenten med teamet precis som andra skräddarsydda agenter. Första gången någon ställer en fråga som kräver Snowflake får personen logga in med sitt eget Snowflake-konto. Ingen behöver ange ett klient-ID eller en klienthemlighet.

Om du vill ställa dina egna frågor i din egen chatt, anslut Snowflake till din Notion-agent. Du loggar in med ditt eget Snowflake-konto, så att din agent endast når det du har behörighet att se.

1. Gå till Inställningar → Notion AI.

2. Under MCP-servrar väljer du Lägg till MCP-server.

3. Välj Snowflake-servern märkt Hanteras av arbetsytan. Välj inte Anpassad MCP-server och ange inte serverns webbadress manuellt.

4. Välj Anslut.

5. Logga in på Snowflake i din webbläsare. Din organisations vanliga Okta- eller SSO-inloggning kan visas.

6. Granska och godkänn den begärda Snowflake-rollen.

7. När webbläsaren frågar om du vill öppna Notion väljer du Öppna Notion.

8. Bekräfta att serverstatusen är Ansluten, inte Kräver autentisering.

När du har anslutit visas Snowflake under Alla källor → MCP-servrar i chatten.

1. Ställ en ofarlig fråga med ett känt svar som bör besvaras med hjälp av Snowflake.

2. Bekräfta att agenten använder Snowflake och returnerar ett resultat.

3. Bekräfta att du inte kan komma åt data utanför den roll du har tilldelats.

Om du konfigurerar en skräddarsydd agent, be även en teammedlem med en mer begränsad Snowflake-roll att testa den. Personen bör bara se de data som hen själv har åtkomst till, inte dina. Det är det snabbaste sättet att bekräfta att agenten använder varje persons åtkomst i stället för skaparens.

För en djupare kontroll, be din Snowflake-administratör att bekräfta din användare, roll, ditt virtuella datalager och din frågehistorik. En lyckad inloggning bekräftar din identitet, men den bekräftar inte att varje behörighet är korrekt.

Ställ en specifik fråga till agenten om din Snowflake-data. Till exempel:

• ”Hur många registreringar hade vi totalt förra månaden enligt Snowflake?”

• ”Vilka tio konton hade högst intäkter det här kvartalet enligt Snowflake?”

Med en skräddarsydd agent kan du oftast hoppa över ”från Snowflake” när instruktionerna visar när Snowflake ska användas. För din Notion-agent är det bra att nämna Snowflake så att den väljer rätt källa.

Stora förfrågningar kan ta längre tid eller överskrida tidsgränsen. Om det händer kan du ställa en mer avgränsad fråga eller dela upp förfrågan i mindre frågor.

För det mesta förblir du ansluten utan att behöva göra något. Snowflake använder kortlivade åtkomsttoken, och Notion uppdaterar dem i bakgrunden. Att en åtkomsttoken håller på att gå ut gör inte i sig att du kopplas från.

Du behöver logga in igen om:

• Din uppdateringstoken går ut eller en administratör återkallar den

• En administratör ersätter OAuth-integreringen eller klienthemligheten

• Din Snowflake-roll tas bort

• En administratör tar bort arbetsytans konfiguration eller din anslutning

• En nätverkspolicy blockerar token-uppdateringen

Med en skräddarsydd agent är varje persons inloggning separat. Om en person ombeds logga in igen påverkar det inte någon annan, och personen som byggde agenten behöver inte göra någonting.

Om du roterar klienthemligheten: Använd Snowflakes rotation med två hemligheter istället för att ersätta integreringen. Behåll båda hemligheterna giltiga tillräckligt länge för att uppdatera och testa arbetsytans konfiguration innan du drar tillbaka den gamla.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• MCP-anslutningen till Snowflake finns inte i listan. Arbetsytans administratör kanske inte har lagt till den än, eller så kanske arbetsytan begränsar anpassade servrar. Be administratören om hjälp.

• Du ombeds ange ett klient-ID eller en klienthemlighet. Du valde förmodligen alternativet för en anpassad MCP-server. Gå tillbaka och välj i stället Snowflake-servern märkt Hanteras av arbetsytan.

• Du ombeds logga in igen. Din Snowflake-session kan ha gått ut, eller så kan en administratör ha uppdaterat anslutningen. Logga in på Snowflake igen.

• Du öppnade en skräddarsydd agent och den bad dig logga in på Snowflake. Det är normalt första gången. Alla som använder en hanterad skräddarsydd agent måste logga in med egna inloggningsuppgifter för Snowflake.

• En teammedlem får andra resultat från samma skräddarsydda agent. Det är normalt. Agenten använder varje persons åtkomst till Snowflake, så personer med olika roller ser olika data.

• Den skräddarsydda agenten fungerar i chatten men inte enligt ett schema. Schemalagda och utlösta körningar har ingen inloggad person. Därför kan de ännu inte använda Snowflake med individuell inloggning.

• Du har loggat in, men anslutningen fungerar inte eller verktygen ger fel. Inloggningen bekräftar din identitet, men din åtkomst beror fortfarande på dina Snowflake-behörigheter. Be din Snowflake-administratör bekräfta att din roll har åtkomst till servern, datalagret, agenten och data.

• Agenten kan inte hitta en tabell. Agenten kan bara nå den data som ditt Snowflake-konto kan nå. Kontrollera dina Snowflake-behörigheter och inkludera tabellnamnet i din fråga.

• En förfrågan överskrider tidsgränsen. Ställ en mer specifik fråga eller dela upp din förfrågan i mindre frågor.

Dessa fel beror vanligtvis på Snowflake-inställningar, inte Notion. Dela dem med din Snowflake-administratör.

• Serverns webbadress ser dubblerad ut, till exempel så här: https://https%3A... Adressen klistrades in med ett extra https:// framför. Ta bort det extra så att webbadressen bara börjar med ett https://.

• Du ser ”This server does not support OAuth authentication.” Säkerhetsintegreringen är inte konfigurerad för OAuth, eller så är serverns webbadress felaktig. Be din Snowflake-administratör kontrollera OAuth-säkerhetsintegreringen och serverns webbadress.

• Du ser invalid_client när du loggar in eller förnyar sessionen. Klient-ID:t eller klienthemligheten är felaktig, eller så har klienthemligheten ändrats. Be din administratör om aktuellt klient-ID och aktuell klienthemlighet.

• Du kan logga in, men anslutningen bryts direkt. Din roll kanske inte har åtkomst till servern, eller så blockerar en roll eller nätverksregel sessionen. Be din administratör kontrollera dina behörigheter och policyer.

• Du ser ”The role ALL requested has been explicitly blocked.” Anslutningen begärde åtkomst för alla roller samtidigt: session:role:all. Det är blockerat. Ange i stället en specifik roll med ditt riktiga rollnamn, till exempel session:role:analyst.

• Du ser ett omdirigeringsfel med kod 390307. Webbadressen för omdirigering som sparats i Snowflake matchar inte den som Notion använder. Be din administratör ställa in webbadressen för omdirigering i säkerhetsintegreringen till exakt det värde som Notion använder.

• Du ser fel 390311 om en ogiltig kodutmaning. Detta är ett PKCE-matchningsfel. Be din administratör att bekräfta att OAUTH_ENFORCE_PKCE är korrekt inställt i säkerhetsintegreringen.

• Du är ansluten, men inga verktyg visas. Din roll kanske saknar USAGE på MCP-servern. Be din administratör att bekräfta behörigheten och kör sedan DESCRIBE MCP SERVER för att kontrollera konfigurationen.

• Du kan nå mer eller mindre data än du förväntade dig. Sekundära roller ändrar vad din session kan se. Kontrollera vilka roller som är aktiva i din session med din administratör.

• Det fungerade tidigare, men nu misslyckas det för alla efter att klienthemligheten ändrades. Klienthemligheten har bytts ut, så den sparade anslutningen är inaktuell. Be din administratör om den nya klienthemligheten och anslut sedan igen.

• Det fungerade tidigare, men nu fungerar det inte längre för dig. En roll, behörighet eller policy kan ha ändrats, eller så har din session löpt ut. Logga in igen och be sedan din administratör bekräfta att din åtkomst inte har ändrats.

• Ditt konto-ID avvisas. Använd formatet organization-account med bindestreck, som myorg-myaccount, inte punkter.

• Ett PrivateLink-konto kan inte ansluta. PrivateLink-konton kräver extra nätverkskonfiguration. Fråga din administratör om PrivateLink tillåter Notion-anslutningen.

• Snowflake är inte tillgängligt i schemalagda körningar eller körningar som startas av en utlösare. Ingen är inloggad under de körningarna, så de kan ännu inte använda inloggning per person. Kör din förfrågan i chatten i stället.

• Du ser oauth_security_error efter att ha loggat in via webbläsaren. En nätverkspolicy på kontonivå kan blockera förfrågan. Din administratör kan bekräfta detta genom att köra:

• Inloggningen verkar fungera men du får ett rollfel, även med rätt behörighetsomfång. Din standardroll kan vara blockerad, till exempel ACCOUNTADMIN eller en roll i BLOCKED_ROLES_LIST. Din administratör kan kontrollera och åtgärda detta:

Dessa skrivskyddade kommandon hjälper din administratör att bekräfta konfigurationen utan att ändra något. Kör dem i Snowflake.

Använd dessa Snowflake-guider för att slutföra konfigurationen:

• Snowflake-hanterad MCP-server

• Skapa en Snowflake OAuth-säkerhetsintegrering

• Snowflake OAuth för anpassade klienter

• Översikt över Snowflake OAuth

• Snowflake-kontoidentifierare

• Skräddarsydda agenter

• MCP-anslutningar för skräddarsydda agenter

• Ansluta MCP-servrar till din Notion-agent

• Bästa praxis för säkerhet vid agentanslutningar