Configura el MCP de Snowflake para Notion

Tus Agentes personalizados y tu agente de Notion pueden conectarse a Snowflake a través de un servidor MCP (Protocolo de contexto de modelo) que ejecuta Snowflake. Una vez configurado, puedes preguntarle a tu agente sobre los datos de tu almacén de Snowflake y obtener respuestas directamente en Notion.

La configuración se realiza por etapas y diferentes personas están a cargo de cada una:

• Un admin de Snowflake configura el rol, el almacén y el servidor MCP administrado por Snowflake.

• Un propietario del espacio de trabajo de Notion o un admin configura la conexión MCP de Snowflake para el espacio de trabajo.

• Los miembros del espacio de trabajo pueden conectarse al MCP de Snowflake desde Agentes personalizados usando sus propias credenciales de Snowflake, o conectar Snowflake directamente a su agente de Notion. Los pasos del 1 al 10 de este artículo son iguales para ambas rutas. Las rutas se separan en el paso 11, según el agente que quieras conectar.

• Las herramientas disponibles pueden variar según tu región de nube de Snowflake.

• El servidor MCP administrado de Snowflake no está disponible en China continental ni en regiones gubernamentales.

• Tu espacio de trabajo de Notion debe pertenecer a un plan Business o a un plan Enterprise.

• Usa Notion en la web o en el escritorio. Esta función no está disponible en dispositivos móviles.

• Tu empresa necesita una cuenta de Snowflake.

• Para crear un Agente personalizado, necesitas permiso para crear agentes en tu espacio de trabajo.

Antes de que tu equipo pueda conectar Snowflake a Notion, un admin de Snowflake debe configurar el acceso. Este es el paso más complejo y solo necesitas realizarlo una vez. Trabaja con el admin de tu espacio de trabajo de Notion: Notion proporciona un URI de redireccionamiento y Snowflake proporciona un ID de cliente y un secreto de OAuth.

Configurarás un rol y un almacén, crearás el servidor MCP administrado por Snowflake, le otorgarás acceso a los recursos que necesita, configurarás el alcance de OAuth y la integración de seguridad, y agregarás una política de red si tu organización lo requiere.

Completa esta hoja de trabajo con el admin de tu espacio de trabajo de Notion antes de comenzar. Los miembros pueden omitirla e iniciar sesión con sus propias cuentas de Snowflake una vez que se complete la configuración.

El nombre de host de la cuenta usa guiones, no guiones bajos. Asegúrate de que cada nombre de objeto en la URL del servidor coincida con el nombre correspondiente en Snowflake.

Usa un rol dedicado con los privilegios mínimos necesarios y un almacén aprobado siempre que sea posible.

Rol restringido sin roles secundarios (recomendado). Este modelo es más fácil de entender y auditar. Configura OAUTH_USE_SECONDARY_ROLES = NONE, especifica ALLOWED_ROLES_LIST y usa el alcance de Notion session:role:<mcp_access_role>.

Roles secundarios predeterminados de un usuario (opcional). Usa este modelo solo cuando el servidor necesite privilegios heredados de los DEFAULT_SECONDARY_ROLES de Snowflake de cada usuario. Configura OAUTH_USE_SECONDARY_ROLES = IMPLICIT, omite ALLOWED_ROLES_LIST y usa un alcance explícito del rol principal. Snowflake no permite roles secundarios IMPLICIT con ALLOWED_ROLES_LIST, así que omite la lista de roles permitidos cuando uses este modelo.

Usa un rol dedicado con los privilegios mínimos necesarios para el servidor MCP siempre que sea posible.

Otorga este rol mediante tu proceso habitual de gestión de identidades. Si Okta o SCIM gestionan la asignación de roles de Snowflake, no agregues usuarios manualmente fuera de ese proceso.

Crea o elige una base de datos y un esquema que pertenezcan al equipo que ejecutará el servidor.

Para preguntas empresariales sujetas a gobernanza, puedes ofrecer un Cortex Agent como herramienta para los miembros. Reúne las vistas semánticas, las consultas verificadas, Search y la orquestación en un solo lugar. Un Cortex Agent es opcional. Si creas uno, usa la especificación que aparece a continuación. Si reemplazas un agente existente, asegúrate de que el nuevo cumpla con la especificación aprobada.

Otros tipos de herramientas MCP de Snowflake compatibles incluyen CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC y SYSTEM_EXECUTE_SQL.

Asigna a cada herramienta un nombre y una descripción claros. Explica qué datos cubre, qué tan detallados son sus resultados y cuándo usarla. Esto ayuda al agente a elegir la herramienta adecuada.

El privilegio USAGE en un servidor MCP permite que un rol se conecte al servidor y descubra sus herramientas. No le da acceso al almacén, al agente, a la vista semántica, al servicio de Search, al procedimiento almacenado ni a los datos subyacentes. Otorga al rol acceso a cada recurso que necesiten las herramientas del servidor.

Otorga acceso solo a los recursos adicionales que necesite cada herramienta. Por ejemplo, otorga SELECT en una vista semántica aprobada, USAGE en un servicio de Cortex Search o USAGE en una función o procedimiento específico. No otorgues el rol a PUBLIC ni agregues privilegios amplios para objetos actuales o futuros.

Antes de configurar OAuth, verifica el servidor MCP y los permisos otorgados:

Configura el esquema MCP para indicar el rol exacto que deben solicitar los miembros:

Usa un alcance de rol explícito. No uses session:role:all. Snowflake interpreta ese valor como el rol principal predeterminado del usuario, no como acceso a todos los roles, y las políticas para roles privilegiados pueden bloquearlo. Un rol explícito deja claro el acceso solicitado y facilita su verificación.

Antes de ejecutar este SQL, coordina con el admin de tu espacio de trabajo de Notion. Pídele que ingrese la URL del servidor de Snowflake en el formulario de configuración de MCP del espacio de trabajo y active Configurar la autenticación manualmente y Usar un cliente OAuth compartido en el espacio de trabajo. Notion genera un URI de redireccionamiento. Cópialo y envíaselo al admin de Snowflake. Cuando Snowflake cree el ID y el secreto del cliente, el admin del espacio de trabajo podrá terminar de configurar la conexión.

Usa el URI de redireccionamiento exactamente como lo proporciona Notion. No agregues una barra al final ni parámetros de consulta, y no cambies el host.

Al establecer IS_AGENTIC = TRUE, las sesiones creadas mediante esta integración se marcan como sesiones de agente. La función IS_AGENT_ACTIVATED() de Snowflake devuelve TRUE, lo que permite aplicar auditorías y reglas de gobernanza específicas para agentes. Si usas el modelo opcional de roles secundarios, establece OAUTH_USE_SECONDARY_ROLES = IMPLICIT y omite ALLOWED_ROLES_LIST.

El período de validez del token de actualización, 7776000 segundos, equivale a 90 días. Antes de usarlo, confirma que se ajuste a las políticas de reautorización y rotación de tokens de tu organización. Para los cambios habituales, evita CREATE OR REPLACE SECURITY INTEGRATION: reemplazar la integración puede interrumpir las conexiones existentes.

Para verificar la integración sin mostrar el secreto, ejecuta:

Confirma que la integración esté activada, que el URI de redireccionamiento coincida exactamente, que el rol esté permitido y no bloqueado, que los tokens de actualización y PKCE estén activados, y que los puntos finales de autorización y de token usen el host público de la cuenta de Snowflake.

Este paso solo es necesario si tu organización exige una política de red. Pide a la persona responsable de seguridad o redes que apruebe los rangos de direcciones de salida actuales de Notion.

La integración OAuth debe permitir ambas rutas de Notion:

1. la ruta de la API que procesa las solicitudes de retorno de OAuth e intercambia los códigos de autorización

2. la ruta de ejecución del espacio de trabajo que valida la conexión, ejecuta herramientas y actualiza los tokens

Estas rutas pueden usar diferentes direcciones de salida de Notion. Si solo permites la dirección usada durante el intercambio inicial de tokens, es posible que el inicio de sesión funcione, pero que fallen la validación o la actualización del token. Usa los rangos de direcciones de salida actuales y aprobados de Notion. No agregues a la lista de IP permitidas en producción una dirección que obtuviste una sola vez de un navegador o un registro.

Asocia esta política de red a la integración OAuth, no a usuarios individuales. No cambies las políticas generales de la cuenta para el inicio de sesión en el navegador, el acceso por VPN o el acceso de los usuarios a la red. Si una política de red bloquea una solicitud de token, Snowflake puede devolver invalid_client. Este error no significa necesariamente que el ID o el secreto del cliente sean incorrectos.

Ejecuta esto en una hoja de trabajo segura de Snowflake. El nombre de la integración distingue entre mayúsculas y minúsculas y, por lo general, se escribe en mayúsculas:

Comparte el ID del cliente y el secreto correspondiente con el admin de tu espacio de trabajo de Notion mediante un canal seguro aprobado. Snowflake proporciona dos secretos válidos para que puedas rotarlos sin interrupciones. Nunca pegues ninguno de los secretos en documentación, chats, tickets ni sistemas de control de versiones.

Cuando Snowflake esté listo, un propietario o admin agregará el servidor una sola vez para todo el espacio de trabajo. Los miembros podrán encontrarlo sin ver el secreto del cliente OAuth, tanto si conectan el MCP de Snowflake a un Agente personalizado como si lo conectan a su propio agente de Notion.

1. Ve a Configuración del espacio de trabajo.

2. Selecciona Conexiones → MCP compartidos del espacio de trabajo.

3. Selecciona Nuevo MCP del espacio de trabajo.

Completa estos campos y selecciona Agregar servidor MCP:

Después de guardar, confirma que la nueva fila aparezca en Compartido con este espacio de trabajo y que Cliente OAuth del espacio de trabajo muestre Configurado.

Qué hace esta configuración:

• Ayuda a los miembros a encontrar el servidor aprobado.

• Almacena el secreto de cliente OAuth una vez en el almacenamiento de conexiones cifrado de Notion.

• Garantiza que los miembros inicien sesión con la URL del servidor, el cliente y los alcances que aprobaste.

• No crea una sesión de Snowflake compartida ni omite los controles de acceso de Snowflake.

• No conecta a cada miembro automáticamente. Cada persona debe iniciar sesión por separado.

Si eliminas esta configuración, los nuevos miembros ya no podrán encontrar el servidor. Es posible que las conexiones existentes sigan apareciendo. Coordina este cambio con la revocación de los permisos de Snowflake y la eliminación de las conexiones existentes.

Cuando los admins tengan lista la conexión MCP de Snowflake, podrás usarla de dos maneras. Si la configuras para un equipo, empieza por el paso 11A. Si solo quieres hacer tus propias preguntas, pasa al 11B. También puedes hacer ambas cosas: son conexiones independientes.

Un Agente personalizado le da a tu equipo un lugar donde hacer preguntas sobre los datos de Snowflake. Conecta Snowflake una vez, agrega instrucciones sobre tus métricas y tablas, y comparte el agente con tu equipo. Quienes lo usen deberán iniciar sesión en Snowflake con sus propias credenciales. Así, cada persona recibirá respuestas basadas únicamente en los datos que tiene permiso para ver.

Conecta Snowflake a un Agente personalizado

1. Abre tu Agente personalizado o crea uno nuevo.

2. Ve a Configuración → Herramientas y acceso.

3. Selecciona Añadir conexión y, luego, elige el servidor de Snowflake etiquetado como Gestionado por el espacio de trabajo. No selecciones Servidor MCP personalizado ni introduzcas la URL del servidor manualmente.

4. Inicia sesión en Snowflake en tu navegador. Es posible que aparezca el inicio de sesión habitual de Okta o SSO de tu organización.

5. Revisa y aprueba el rol de Snowflake solicitado.

6. Elige qué herramientas puede usar el agente. Deja las herramientas con capacidad de escritura y CORTEX_AGENT_RUN configuradas para solicitar aprobación hasta que las hayas probado.

7. Selecciona Conectar y confirma que la conexión aparezca como Conectada.

Proporciona contexto al agente

La conexión le da al agente acceso a Snowflake. Tus instrucciones le indican cómo utiliza tu empresa esos datos. En las instrucciones del agente, describe qué herramientas usar para cada tipo de pregunta, cómo define tu equipo las métricas clave y desde qué tablas o vistas semánticas empezar. Unos cuantos ejemplos de preguntas verificadas son de gran ayuda. Para obtener un punto de partida ya preparado, consulta la guía del kit de herramientas Data Scout.

Comparte el agente

Comparte el agente con tu equipo de la misma manera que compartes cualquier agente personalizado. La primera vez que alguien le haga una pregunta que requiera Snowflake, se le pedirá que inicie sesión con su propia cuenta de Snowflake. No se le solicitará un ID de cliente ni un secreto.

Si quieres hacer tus propias preguntas en tu propio chat, conecta Snowflake a tu agente de Notion. Inicias sesión con tu propia cuenta de Snowflake, por lo que tu agente solo accede a lo que tienes permiso para ver.

1. Ve a Configuración → IA de Notion.

2. En Servidores MCP, selecciona Añadir servidor MCP.

3. Selecciona el servidor de Snowflake etiquetado como Workspace Managed. No selecciones Servidor MCP personalizado ni ingreses la URL del servidor manualmente.

4. Selecciona Conectar.

5. Inicia sesión en Snowflake en tu navegador. Es posible que aparezca el inicio de sesión habitual de Okta o SSO de tu organización.

6. Revisa y aprueba el rol de Snowflake solicitado.

7. Cuando tu navegador pregunte si deseas abrir Notion, selecciona Abrir Notion.

8. Confirma que el estado del servidor sea Conectado, no Necesita autenticación.

Después de conectarte, Snowflake aparece en Todas las fuentes → Servidores MCP en el chat.

1. Haz una pregunta inofensiva cuya respuesta conozcas y que requiera usar Snowflake.

2. Confirma que el agente use Snowflake y devuelva un resultado.

3. Confirma que no puedas acceder a datos fuera del rol que se te asignó.

Si configuras un agente personalizado, pídele también a un compañero de equipo con un rol de Snowflake más limitado que lo pruebe. Solo debería ver sus propios datos, no los tuyos. Esa es la forma más rápida de confirmar que el agente está utilizando el acceso de cada persona en lugar del del creador.

Para una verificación más profunda, pídele al admin de Snowflake que confirme tu usuario, rol, almacén de datos e historial de consultas. Un inicio de sesión exitoso confirma tu identidad, pero no confirma que todos los permisos sean correctos.

Hazle al agente una pregunta específica sobre tus datos de Snowflake. Por ejemplo:

• "De Snowflake, ¿cuántos registros tuvimos en total el mes pasado?"

• "De Snowflake, ¿cuáles fueron nuestras 10 cuentas con mayores ingresos este trimestre?"

Con un agente personalizado, generalmente puedes omitir "de Snowflake" una vez que sus instrucciones dejen claro cuándo usarlo. Con tu agente de Notion, mencionar Snowflake ayuda al agente a elegir la fuente correcta.

Las solicitudes grandes pueden tardar más o superar el tiempo de espera. Si eso sucede, haz una pregunta más específica o divide la solicitud en preguntas más pequeñas.

La mayor parte del tiempo, permaneces conectado sin hacer nada. Snowflake usa tokens de acceso de corta duración y Notion los actualiza en segundo plano. Que un token de acceso esté por caducar no te desconectará por sí solo.

Tendrás que iniciar sesión de nuevo si:

• Tu token de actualización caduca o un admin lo revoca

• Un admin reemplaza la integración de OAuth o el secreto de cliente

• Se elimina tu rol de Snowflake

• Un admin elimina la configuración del espacio de trabajo o tu conexión

• Una política de red bloquea la actualización del token

Con un agente personalizado, cada persona inicia sesión por separado. Si alguien tiene que volver a iniciar sesión, no afecta a nadie más, y quien creó el agente no tiene que hacer nada.

Si rotas el secreto de cliente: Usa la rotación de dos secretos de Snowflake en lugar de reemplazar la integración. Mantén ambos secretos vigentes el tiempo suficiente para actualizar y probar la configuración del espacio de trabajo antes de retirar el anterior.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• La conexión MCP de Snowflake no aparece en la lista. Es posible que el admin de tu espacio de trabajo aún no la haya agregado o que el espacio de trabajo limite los servidores personalizados. Pide ayuda a tu admin.

• Se te pide un ID de cliente o un secreto. Probablemente elegiste la opción de servidor MCP personalizado. Vuelve atrás y selecciona el servidor de Snowflake etiquetado como Workspace Managed.

• Se te pide que vuelvas a iniciar sesión. Es posible que tu sesión de Snowflake haya caducado o que un admin haya actualizado la conexión. Vuelve a iniciar sesión en Snowflake.

• Abriste un agente personalizado y se te pidió que iniciaras sesión en Snowflake. Es normal la primera vez. Cada persona que usa un agente personalizado administrado debe iniciar sesión con sus propias credenciales de Snowflake.

• Un compañero de equipo obtiene resultados diferentes del mismo agente personalizado. Eso es normal. El agente utiliza el acceso de Snowflake de cada persona, por lo que las personas con diferentes roles ven datos diferentes.

• El agente personalizado funciona en el chat, pero no de forma programada. En las ejecuciones programadas y activadas no hay nadie con una sesión iniciada, así que aún no pueden usar Snowflake con el inicio de sesión individual.

• Iniciaste sesión, pero no se establece la conexión o las herramientas fallan. Iniciar sesión confirma tu identidad, pero tu acceso depende de los permisos que tienes en Snowflake. Pide a tu admin de Snowflake que confirme que tu rol puede acceder al servidor, al almacén virtual, al agente y a los datos.

• El agente no encuentra una tabla. El agente solo puede acceder a los datos a los que tiene acceso tu cuenta de Snowflake. Revisa tus permisos de Snowflake e incluye el nombre de la tabla en tu pregunta.

• Una solicitud excede el tiempo de espera. Haz una pregunta más específica o divide la solicitud en preguntas más pequeñas.

Estos errores suelen deberse a la configuración de Snowflake, no a Notion. Compártelos con tu admin de Snowflake.

• La URL del servidor parece duplicada, como https://https%3A... La dirección se pegó con un https:// adicional al principio. Corrige la URL para que empiece con un solo https://.

• Ves "This server does not support OAuth authentication". La integración de seguridad no está configurada para OAuth o la URL del servidor es incorrecta. Pide a tu admin de Snowflake que revise la integración de seguridad de OAuth y la URL del servidor.

• Ves invalid_client al iniciar sesión o actualizar el token. El ID de cliente o el secreto es incorrecto, o se cambió el secreto. Pide a tu admin el ID de cliente y el secreto actuales.

• El inicio de sesión funciona, pero falla de inmediato. Es posible que tu rol no tenga acceso al servidor o que un rol o una regla de red bloquee la sesión. Pídele a tu admin que revise tus permisos y políticas.

• Ves "The role ALL requested has been explicitly blocked." La conexión solicitó todos los roles a la vez (session:role:all), pero eso está bloqueado. Usa un solo rol específico, como session:role:analyst, con el nombre real de tu rol.

• Ves un error de redirección (error 390307). La URL de redirección guardada en Snowflake no coincide con la que usa Notion. Pídele a tu admin que configure la URL de redirección de la integración de seguridad con el valor exacto de Notion.

• Ves el error 390311 sobre un desafío de código no válido. Los valores de PKCE no coinciden. Pídele a tu admin que confirme que OAUTH_ENFORCE_PKCE esté configurado correctamente en la integración de seguridad.

• Te conectaste, pero no aparecen herramientas. Es posible que tu rol no tenga el permiso USAGE en el servidor MCP. Pídele a tu admin que confirme el permiso y luego ejecuta DESCRIBE MCP SERVER para revisar la configuración.

• Puedes acceder a más o menos datos de los que esperabas. Los roles secundarios cambian los datos que puedes ver en tu sesión. Consulta con tu admin qué roles están activos.

• Antes funcionaba, pero ahora les falla a todos después de un cambio de secreto. Se renovó el secreto del cliente, así que la conexión guardada está desactualizada. Pídele a tu admin el nuevo secreto y vuelve a conectarte.

• Antes funcionaba, pero ahora solo te falla a ti. Es posible que haya cambiado un rol, permiso o política, o que tu sesión haya caducado. Vuelve a iniciar sesión y pídele a tu admin que confirme que tu acceso no cambió.

• Se rechazó tu identificador de cuenta. Usa el formato organization-account con un guion, como myorg-myaccount, en lugar de puntos.

• Una cuenta de PrivateLink no puede conectarse. Las cuentas de PrivateLink necesitan una configuración de red adicional. Pregúntale a tu admin si PrivateLink permite la conexión con Notion.

• Snowflake no está disponible en ejecuciones programadas o activadas. En esas ejecuciones no hay nadie que haya iniciado sesión, así que todavía no pueden usar el inicio de sesión individual. Haz tu solicitud en el chat.

• Ves oauth_security_error después de iniciar sesión en el navegador. Es posible que una política de red de la cuenta bloquee la solicitud. Tu admin puede confirmarlo con este comando:

• El inicio de sesión parece funcionar, pero ves un error de rol, incluso con el alcance correcto. Es posible que tu rol predeterminado esté bloqueado, por ejemplo, ACCOUNTADMIN o un rol de BLOCKED_ROLES_LIST. Tu admin puede revisarlo y corregirlo:

Estos comandos de solo lectura ayudan a tu administrador a confirmar la configuración sin cambiar nada. Ejecútalos en Snowflake.

Usa estas guías de Snowflake para completar la configuración:

• Servidor MCP administrado por Snowflake

• Crear una integración de seguridad OAuth de Snowflake

• OAuth de Snowflake para clientes personalizados

• Descripción general de OAuth de Snowflake

• Identificadores de cuenta de Snowflake

• Agentes personalizados

• Conexiones MCP para agentes personalizados

• Conecta servidores MCP a tu agente de Notion

• Prácticas recomendadas de seguridad para las conexiones de agentes