Konfigurere Snowflake MCP til Notion

Dine tilpassede agenter og din Notion-agent kan oprette forbindelse til Snowflake via en MCP (Model Context Protocol)-server, som Snowflake driver. Når den er konfigureret, kan du spørge din agent om dataene i dit Snowflake-warehouse og få svar direkte i Notion.

Konfigurationen sker i etaper, og forskellige personer har ansvaret for hver etape:

• En Snowflake-administrator konfigurerer rollen, warehouset og den Snowflake-administrerede MCP-server.

• En ejer eller administrator af et Notion-arbejdsområde konfigurerer forbindelsen til Snowflake MCP for arbejdsområdet.

• Medlemmer af arbejdsområdet kan derefter oprette forbindelse til Snowflake MCP fra tilpassede agenter ved hjælp af deres egne Snowflake-legitimationsoplysninger eller forbinde Snowflake direkte til deres Notion-agent. Trin 1–10 i denne artikel er de samme for begge fremgangsmåder. Fremgangsmåderne adskiller sig fra trin 11, afhængigt af hvilken agent du vil forbinde.

• De tilgængelige værktøjer kan variere afhængigt af din Snowflake-cloud-region.

• Snowflakes administrerede MCP-server er ikke tilgængelig på det kinesiske fastland eller i cloudregioner til offentlige myndigheder.

• Dit Notion-arbejdsområde skal være på et Business- eller Enterprise-abonnement.

• Brug Notion i browseren eller desktopappen. Denne funktion er ikke tilgængelig på mobilen.

• Din virksomhed skal have en Snowflake-konto.

• For at oprette en tilpasset agent skal du have tilladelse til at oprette agenter i dit arbejdsområde.

Før dit team kan forbinde Snowflake til Notion, skal en Snowflake-administrator konfigurere adgangen. Dette er det mest omfattende trin, og du behøver kun at gøre det én gang. Samarbejd med administratoren af dit Notion-arbejdsområde: Notion leverer en omdirigerings-URI, og Snowflake leverer et OAuth-klient-id og en klienthemmelighed.

Du skal konfigurere en rolle og et warehouse, oprette den Snowflake-administrerede MCP-server, give den adgang til de ressourcer, den har brug for, konfigurere OAuth-scope og sikkerhedsintegration samt tilføje en netværkspolitik, hvis din organisation kræver det.

Udfyld dette arbejdsark sammen med administratoren for dit Notion-arbejdsområde, før du starter. Medlemmer kan springe det over og logge ind med deres egne Snowflake-konti, når konfigurationen er fuldført.

Kontoens værtsnavn bruger bindestreger, ikke understregninger. Sørg for, at hvert objektnavn i server-URL'en matcher det tilsvarende objektnavn i Snowflake.

Brug en dedikeret rolle med færrest mulige rettigheder og ét godkendt warehouse, når det er muligt.

Begrænset rolle uden sekundære roller (anbefales). Denne model er lettere at forstå og revidere. Indstil OAUTH_USE_SECONDARY_ROLES = NONE, angiv ALLOWED_ROLES_LIST, og brug Notion-scopet session:role:<mcp_access_role>.

En brugers sekundære standardroller (valgfrit). Brug kun denne model, når serveren har brug for rettigheder, der nedarves fra hver brugers Snowflake-roller angivet i DEFAULT_SECONDARY_ROLES. Indstil OAUTH_USE_SECONDARY_ROLES = IMPLICIT, udelad ALLOWED_ROLES_LIST, og brug et eksplicit primært rolleomfang. Snowflake tillader ikke IMPLICIT sekundære roller med ALLOWED_ROLES_LIST, så udelad tilladelseslisten, når du bruger denne model.

Brug en dedikeret rolle med færrest mulige rettigheder til MCP-serveren, når det er muligt.

Tildel denne rolle gennem din normale proces for identitetsstyring. Hvis Okta eller SCIM administrerer Snowflake-rolletilknytning, må du ikke tilføje brugere manuelt uden for denne proces.

Opret eller vælg en database og et skema, der ejes af det team, som skal køre serveren.

Til forretningsspørgsmål med krav til datastyring kan du stille en Cortex Agent til rådighed som det værktøj medlemmerne bruger. Den samler semantiske visninger, verificerede forespørgsler, søgning og orkestrering ét sted. En Cortex Agent er valgfri. Hvis du opretter en, skal du bruge specifikationen nedenfor. Hvis du erstatter en eksisterende agent, skal du sørge for at den nye agent følger den godkendte specifikation.

Andre understøttede Snowflake MCP-værktøjstyper inkluderer CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Giv hvert værktøj et klart navn og en beskrivelse. Forklar, hvilke data det dækker, hvor detaljerede resultaterne er, og hvornår det skal bruges. Dette hjælper agenten med at vælge det rigtige værktøj.

USAGE-privilegiet på en MCP-server lader en rolle oprette forbindelse til serveren og finde dens værktøjer. Det giver ikke rollen adgang til warehouset, agenten, den semantiske visning, Search-tjenesten, den lagrede procedure eller de underliggende data. Giv rollen adgang til hver ressource, som serverens værktøjer har brug for.

Giv kun adgang til de yderligere ressourcer, som hvert værktøj har brug for. Giv for eksempel SELECT på en godkendt semantisk visning, USAGE på en Cortex Search-tjeneste eller USAGE på en specifik funktion eller procedure. Tildel ikke rollen til PUBLIC og tilføj ikke brede privilegier for nuværende eller fremtidige objekter.

Før du opsætter OAuth, skal du tjekke MCP-serveren og dens tildelinger:

Konfigurer MCP-skemaet til at angive præcis den rolle medlemmerne skal anmode om:

Brug et eksplicit rollescope. Brug ikke session:role:all. Snowflake behandler denne værdi som brugerens primære standardrolle, ikke som adgang til alle roller, og politikker for privilegerede roller kan blokere den. Med en eksplicit rolle er det tydeligt hvilken adgang der anmodes om, og lettere at kontrollere den.

Før du kører denne SQL, skal du koordinere med administratoren for dit Notion-arbejdsområde. Bed vedkommende om at indtaste Snowflake-serverens URL i formularen til MCP-opsætning i arbejdsområdet og slå Konfigurer godkendelse manuelt og Brug en OAuth-klient der deles med arbejdsområdet til. Notion genererer en redirect-URI. Kopier den og send den til Snowflake-administratoren. Når Snowflake har oprettet klient-id'et og hemmeligheden, kan administratoren for arbejdsområdet færdiggøre opsætningen af forbindelsen.

Brug redirect-URI'en præcis som Notion angiver den. Tilføj ikke en afsluttende skråstreg eller forespørgselsparametre, og ændr ikke værten.

Når du indstiller IS_AGENTIC = TRUE, markeres sessioner oprettet gennem denne integration som agentsessioner. Snowflakes IS_AGENT_ACTIVATED()-funktion returnerer derefter TRUE, så Snowflake kan anvende agentspecifik logning og styring. Hvis du bruger den valgfrie model med sekundære roller, skal du indstille OAUTH_USE_SECONDARY_ROLES = IMPLICIT og udelade ALLOWED_ROLES_LIST.

Gyldighedsværdien for refresh-token på 7776000 sekunder svarer til 90 dage. Før du bruger den, skal du bekræfte at den stemmer overens med din organisations politikker for genautorisation og token-rotation. Ved rutinemæssige ændringer bør du undgå CREATE OR REPLACE SECURITY INTEGRATION. Udskiftning af integrationen kan afbryde eksisterende forbindelser.

For at tjekke integrationen uden at vise dens hemmelighed, skal du køre:

Bekræft at integrationen er slået til, at redirect-URI'en stemmer præcis overens, at rollen er tilladt og ikke blokeret, at refresh-tokens og PKCE er slået til, og at både autorisations- og token-endepunkterne bruger Snowflakes offentlige kontovært.

Dette trin er kun nødvendigt hvis din organisation kræver en netværkspolitik. Bed din sikkerheds- eller netværksansvarlige om at godkende Notions nuværende intervaller for udgående IP-adresser.

OAuth-integrationen skal tillade begge Notion-stier:

1. API-stien der håndterer OAuth-callbacks og udveksler autorisationskoder

2. stien til arbejdsområdets kørselsmiljø der validerer forbindelsen, kører værktøjer og opdaterer tokens

Disse stier kan bruge forskellige udgående IP-adresser fra Notion. Hvis du kun tillader den adresse der blev brugt under den indledende tokenudveksling, kan login lykkes, men validering eller tokenopdatering kan mislykkes. Brug Notions nuværende, godkendte intervaller for udgående IP-adresser. Tilføj ikke en enkeltstående IP-adresse fra en browser eller log til en tilladelsesliste for produktionsmiljøet.

Knyt denne netværkspolitik til OAuth-integrationen, ikke til individuelle brugere. Du må ikke ændre de politikker der gælder for hele kontoen, for browserlogin, VPN-adgang eller brugeres netværksadgang. Hvis en netværkspolitik blokerer en tokenanmodning, kan Snowflake returnere invalid_client. Denne fejl betyder ikke nødvendigvis at klient-id'et eller klienthemmeligheden er forkert.

Kør dette i et sikkert Snowflake-arbejdsark. Integrationsnavnet skelner mellem store og små bogstaver og skrives normalt med store bogstaver:

Del klient-id'et og den tilhørende klienthemmelighed med administratoren af dit Notion-arbejdsområde via en godkendt, sikker kanal. Snowflake stiller to gyldige klienthemmeligheder til rådighed, så du kan udskifte dem uden nedetid. Indsæt aldrig nogen af klienthemmelighederne i dokumentation, chats, supportsager eller versionsstyring.

Når Snowflake er klar, tilføjer en ejer eller administrator af arbejdsområdet serveren én gang for hele arbejdsområdet. Medlemmer kan derefter finde den uden at se OAuth-klienthemmeligheden, uanset om de forbinder Snowflake MCP til en tilpasset agent eller til deres egen Notion-agent.

1. Gå til Indstillinger for arbejdsområdet.

2. Vælg Forbindelser → Delte MCP'er for arbejdsområdet.

3. Vælg Nyt arbejdsområde-MCP.

Udfyld disse felter, og vælg derefter Tilføj MCP-server:

Når du har gemt, skal du bekræfte at den nye række vises under Delt med dette arbejdsområde, og at Arbejdsområdets OAuth-klient viser Konfigureret.

Hvad denne opsætning gør:

• Hjælper medlemmer med at finde den godkendte server.

• Gemmer OAuth-klienthemmeligheden én gang i Notions krypterede forbindelseslager.

• Sikrer, at medlemmer logger ind med den server-URL, den klient og de områder, du har godkendt.

• Opretter ikke en delt Snowflake-session og omgår ikke Snowflakes adgangskontroller.

• Forbinder ikke automatisk hvert medlem. Hver person skal logge ind separat.

Hvis du fjerner denne opsætning, kan nye medlemmer ikke længere finde serveren. Eksisterende forbindelser kan stadig blive vist, så koordinér denne ændring med tilbagekaldelse af Snowflake-tildelinger og fjernelse af eksisterende forbindelser.

Når dine administratorer har Snowflake MCP-forbindelsen klar, er der to måder at bruge den på. Hvis du opsætter dette til et team, skal du starte med 11A. Hvis du bare vil stille dine egne spørgsmål, skal du springe til 11B. Du kan gøre begge dele. Det er separate forbindelser.

En tilpasset agent giver dit team ét sted at stille spørgsmål om Snowflake-data. Du forbinder Snowflake én gang, tilføjer instruktioner om dine nøgletal og tabeller og deler agenten med dit team. Alle der bruger den, skal logge ind på Snowflake med deres egne legitimationsoplysninger, så hver person kun får svar baseret på de data de har tilladelse til at se.

Forbinde Snowflake til en tilpasset agent

1. Åbn din tilpassede agent, eller opret en ny.

2. Gå til Indstillinger → Værktøjer og adgang.

3. Vælg Tilføj forbindelse, og vælg derefter Snowflake-serveren mærket Administreret af arbejdsområdet. Vælg ikke Tilpasset MCP-server, og indtast ikke serverens webadresse manuelt.

4. Log ind på Snowflake i din browser. Du får muligvis vist din organisations sædvanlige login via Okta eller SSO.

5. Gennemse og godkend den anmodede Snowflake-rolle.

6. Vælg, hvilke værktøjer agenten må bruge. Lad værktøjer med skriveadgang og CORTEX_AGENT_RUN være indstillet til at bede om godkendelse, indtil du har testet dem.

7. Vælg Forbind, og bekræft, at forbindelsen vises som Forbundet.

Giv agenten kontekst

Forbindelsen giver agenten adgang til Snowflake. Dine instruktioner fortæller den, hvordan din virksomhed bruger disse data. I agentens instruktioner skal du beskrive, hvilke værktøjer der skal bruges til hvilke typer spørgsmål, hvordan dit team definerer nøgletal, og hvilke tabeller eller semantiske visninger der skal tages udgangspunkt i. Et par verificerede eksempelspørgsmål gør en stor forskel. Se vejledningen til Data Scout-værktøjskassen for et færdigt udgangspunkt.

Del agenten

Del agenten med dit team på samme måde som enhver anden tilpasset agent. Første gang nogen stiller den et spørgsmål der kræver Snowflake, bliver de bedt om at logge ind med deres egen Snowflake-konto. De bliver ikke bedt om et klient-id eller en klienthemmelighed.

Hvis du vil stille dine egne spørgsmål i din egen chat, skal du forbinde Snowflake til din Notion-agent. Du logger ind med din egen Snowflake-konto, så din agent kun får adgang til det, du har tilladelse til at se.

1. Gå til Indstillinger → Notion AI.

2. Under MCP-servere skal du vælge Tilføj MCP-server.

3. Vælg Snowflake-serveren mærket Administreret af arbejdsområdet. Vælg ikke Tilpasset MCP-server, og indtast ikke serverens webadresse manuelt.

4. Vælg Forbind.

5. Log ind på Snowflake i din browser. Du kan blive mødt af din organisations sædvanlige login via Okta eller SSO.

6. Gennemse og godkend den anmodede Snowflake-rolle.

7. Når din browser spørger, om den skal åbne Notion, skal du vælge Åbn Notion.

8. Bekræft, at serverstatus er Forbundet, ikke Kræver godkendelse.

Når du har oprettet forbindelse, vises Snowflake i Alle kilder → MCP-servere i chatten.

1. Stil et harmløst spørgsmål med et kendt svar, som burde bruge Snowflake.

2. Bekræft, at agenten bruger Snowflake og returnerer et resultat.

3. Bekræft, at du ikke kan få adgang til data uden for den rolle, du har fået tildelt.

Hvis du har oprettet en tilpasset agent, så bed også et teammedlem med en mere begrænset Snowflake-rolle om at prøve den. Vedkommende bør kun se sine egne data, ikke dine. Det er den hurtigste måde at bekræfte at agenten bruger hver persons adgang frem for opretterens.

Hvis du vil foretage en grundigere kontrol, skal du bede din Snowflake-administrator om at bekræfte din bruger, rolle, dit warehouse og din forespørgselshistorik. Et vellykket login bekræfter din identitet, men det bekræfter ikke, at alle rettigheder er korrekte.

Stil agenten et specifikt spørgsmål om dine Snowflake-data. For eksempel:

• "Hvad var vores samlede antal tilmeldinger i sidste måned ifølge Snowflake?"

• "Hvilke ti konti havde den højeste omsætning i dette kvartal ifølge Snowflake?"

Med en tilpasset agent kan du normalt springe "fra Snowflake" over, når dens instruktioner gør det klart, hvornår den skal bruges. Med din Notion-agent hjælper det at nævne Snowflake med at få agenten til at vælge den rigtige kilde.

Store anmodninger kan tage længere tid eller få timeout. Hvis det sker, så stil et mere specifikt spørgsmål eller opdel anmodningen i mindre spørgsmål.

Det meste af tiden forbliver du forbundet uden at gøre noget. Snowflake bruger kortlivede adgangstokens, og Notion opdaterer dem i baggrunden. Et udløbende adgangstoken i sig selv vil ikke afbryde din forbindelse.

Du skal logge ind igen, hvis:

• Dit opdateringstoken udløber, eller en administrator tilbagekalder det

• En administrator erstatter OAuth-integrationen eller klienthemmeligheden

• Din Snowflake-rolle fjernes

• En administrator fjerner arbejdsområdets opsætning eller din forbindelse

• En netværkspolitik blokerer opdatering af tokenet

Med en tilpasset agent er hver persons pålogning separat. Hvis én person bliver bedt om at logge på igen, påvirker det ikke andre, og personen, der byggede agenten, behøver ikke at gøre noget.

Hvis du roterer klienthemmeligheden: Brug Snowflakes rotation med to hemmeligheder i stedet for at udskifte integrationen. Sørg for, at begge hemmeligheder forbliver gyldige længe nok til, at du kan opdatere og teste arbejdsområdets opsætning, før du tager den gamle ud af brug.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflake MCP-forbindelsen er ikke på listen. Administratoren for dit arbejdsområde har muligvis ikke tilføjet den endnu, eller dit arbejdsområde begrænser muligvis brugerdefinerede servere. Bed din administrator om hjælp.

• Du bliver bedt om et klient-id eller en klienthemmelighed. Du har sandsynligvis valgt en tilpasset MCP-server. Gå tilbage, og vælg i stedet Snowflake-serveren mærket Administreret af arbejdsområdet.

• Du bliver bedt om at logge ind igen. Din Snowflake-session er muligvis udløbet, eller en administrator har muligvis opdateret forbindelsen. Log ind på Snowflake igen.

• Du åbnede en tilpasset agent, og den bad dig om at logge ind på Snowflake. Det er normalt første gang. Alle der bruger en administreret tilpasset agent, skal logge ind med deres egne Snowflake-loginoplysninger.

• Et teammedlem får andre resultater fra den samme tilpassede agent. Det er normalt. Agenten bruger hver persons Snowflake-adgang, så personer med forskellige roller ser forskellige data.

• Den tilpassede agent virker i chatten, men ikke efter en tidsplan. Ved planlagte og udløste kørsler er ingen logget ind, så de kan endnu ikke bruge Snowflake med individuel indlogning.

• Du loggede ind, men den vil ikke oprette forbindelse, eller værktøjerne fejler. At logge ind beviser, hvem du er, men din adgang afhænger stadig af de rettigheder, du har fået tildelt i Snowflake. Bed din Snowflake-administrator om at bekræfte, at din rolle kan få adgang til serveren, warehouset, agenten og dataene.

• Agenten kan ikke finde en tabel. Agenten har kun adgang til de data din Snowflake-konto har adgang til. Tjek dine Snowflake-tilladelser, og nævn tabellens navn i dit spørgsmål.

• En anmodning får ikke svar i tide. Stil et mere specifikt spørgsmål, eller del din anmodning op i mindre spørgsmål.

Disse fejl stammer normalt fra Snowflake-indstillinger, ikke Notion. Del dem med din Snowflake-administrator.

• Server-URL'en ser ud til at være fordoblet, som https://https%3A... Adressen blev indsat med et ekstra https:// foran. Ret det, så URL'en kun starter med ét https://.

• Du ser "This server does not support OAuth authentication." Sikkerhedsintegrationen er ikke sat op til OAuth, eller server-URL'en er forkert. Bed din Snowflake-administrator om at tjekke OAuth-sikkerhedsintegrationen og server-URL'en.

• Du ser invalid_client under pålogning eller opdatering. Klient-id'et eller klienthemmeligheden er forkert, eller klienthemmeligheden er blevet ændret. Bed din administrator om det aktuelle klient-id og den aktuelle klienthemmelighed.

• Du kan logge ind, men forbindelsen svigter med det samme. Din rolle giver muligvis ikke adgang til serveren, eller en rolle eller netværksregel blokerer sessionen. Bed din administrator om at tjekke dine rettigheder og politikker.

• Du ser "The role ALL requested has been explicitly blocked." Forbindelsen anmodede om alle roller på én gang (session:role:all), hvilket er blokeret. Brug én specifik rolle i stedet, såsom session:role:analyst, med dit rigtige rollenavn.

• Du ser en omdirigeringsfejl (fejl 390307). Omdirigerings-URL'en, der er gemt i Snowflake, matcher ikke den, Notion bruger. Bed din administrator om at indstille omdirigerings-URL'en på sikkerhedsintegrationen til den nøjagtige Notion-værdi.

• Du ser fejl 390311 om en ugyldig kodeudfordring. Dette er et PKCE-matchningsproblem. Bed din administrator om at bekræfte, at OAUTH_ENFORCE_PKCE er indstillet korrekt på sikkerhedsintegrationen.

• Du er forbundet, men ingen værktøjer vises. Din rolle mangler muligvis USAGE på MCP-serveren. Bed din administrator om at bekræfte rettigheden, og kør derefter DESCRIBE MCP SERVER for at tjekke opsætningen.

• Du kan få adgang til mere eller mindre data, end du forventede. Sekundære roller ændrer, hvad din session kan se. Tjek hvilke roller der er aktive i din session sammen med din administrator.

• Det virkede før, og nu fejler det for alle, efter at klienthemmeligheden er blevet ændret. Klienthemmeligheden blev udskiftet, så den gemte forbindelse er forældet. Bed din administrator om den nye hemmelighed, og opret derefter forbindelse igen.

• Det virkede før, og nu fejler det kun for dig. En rolle, rettighed eller politik kan være ændret, eller din session er udløbet. Log ind igen, og bed derefter din administrator om at bekræfte, at din adgang ikke er ændret.

• Dit konto-id afvises. Brug organization-account-formatet med en bindestreg, såsom myorg-myaccount, ikke punktummer.

• En PrivateLink-konto kan ikke oprette forbindelse. PrivateLink-konti kræver ekstra netværksopsætning. Spørg din administrator, om PrivateLink tillader Notion-forbindelsen.

• Snowflake er ikke tilgængelig i planlagte eller udløste kørsler. Ingen er logget ind under disse kørsler, så de kan endnu ikke bruge personligt login. Kør din anmodning i chatten i stedet.

• Du ser oauth_security_error efter at have logget ind via browseren. En netværkspolitik på kontoniveau blokerer muligvis anmodningen. Din administrator kan bekræfte dette ved at køre:

• Login ser ud til at fungere, men du får en rollefejl, selv med det rette adgangsomfang. Din standardrolle er muligvis blokeret, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Din administrator kan tjekke og rette det:

Disse skrivebeskyttede kommandoer hjælper din administrator med at bekræfte opsætningen uden at ændre noget. Kør dem i Snowflake.

Brug disse Snowflake-vejledninger til at fuldføre opsætningen:

• Snowflake-administreret MCP-server

• Opret en Snowflake OAuth-sikkerhedsintegration

• Snowflake OAuth til brugerdefinerede klienter

• Oversigt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Tilpassede agenter

• MCP-forbindelser til Tilpassede agenter

• Forbind MCP-servere til din Notion-agent

• Bedste praksis for sikkerhed i agentforbindelser