Konfigurera Snowflake MCP för Notion

Dina skräddarsydda agenter och Notion-agent kan ansluta till Snowflake via en MCP (Model Context Protocol)-server som Snowflake driver. När den är konfigurerad kan du fråga din agent om data i ditt virtuella datalager i Snowflake och få svar direkt i Notion.

Konfigurationen sker i etapper, och olika personer ansvarar för varje del:

• En Snowflake-administratör ställer in rollen, det virtuella datalagret och den Snowflake-hanterade MCP-servern.

• En ägare eller administratör för Notion-arbetsytan konfigurerar Snowflake-MCP-anslutningen för arbetsytan.

• Arbetsytemedlemmar kan sedan ansluta till Snowflake MCP från skräddarsydda agenter med sina egna Snowflake-inloggningsuppgifter, eller ansluta Snowflake direkt till sin Notion-agent. Steg 1–10 i den här artikeln är desamma för båda alternativen. Alternativen skiljer sig åt från steg 11, beroende på vilken agent du vill ansluta.

• De tillgängliga verktygen kan variera beroende på din Snowflake-molnregion.

• Snowflakes hanterade MCP-server är inte tillgänglig på det kinesiska fastlandet eller i molnregioner för myndigheter.

• Din Notion-arbetsyta måste ha ett Business- eller Enterprise-abonnemang.

• Använd Notion på webben eller på datorn. Den här funktionen är inte tillgänglig på mobilen.

• Ditt företag behöver ett Snowflake-konto.

• För att bygga en skräddarsydd agent behöver du behörighet att skapa agenter i din arbetsyta.

Innan ditt team kan ansluta Snowflake till Notion måste en Snowflake-administratör ställa in åtkomst. Detta är det mest omfattande steget, och du behöver bara göra det en gång. Samarbeta med din Notion-arbetsyteadministratör: Notion tillhandahåller en omdirigerings-URI, och Snowflake tillhandahåller ett OAuth-klient-ID och en klienthemlighet.

Du kommer att ställa in en roll och ett virtuellt datalager, skapa den Snowflake-hanterade MCP-servern, ge den åtkomst till de resurser den behöver, konfigurera OAuth-omfånget och säkerhetsintegreringen samt lägga till en nätverkspolicy om din organisation kräver en.

Fyll i detta arbetsblad tillsammans med din Notion-arbetsyteadministratör innan du börjar. Medlemmar kan hoppa över detta och logga in med sina egna Snowflake-konton när konfigurationen är klar.

Kontots värdnamn innehåller bindestreck, inte understreck. Se till att varje objektnamn i serverns webbadress matchar motsvarande objektnamn i Snowflake.

Använd en dedikerad roll med lägsta möjliga behörighet och ett godkänt virtuellt datalager när så är möjligt.

Begränsad roll utan sekundära roller (rekommenderas). Denna modell är enklare att förstå och granska. Ställ in OAUTH_USE_SECONDARY_ROLES = NONE, ange ALLOWED_ROLES_LIST och använd Notion-omfånget session:role:<mcp_access_role>.

En användares sekundära standardroller är ett valfritt alternativ. Använd den här modellen bara om servern behöver behörigheter från varje användares DEFAULT_SECONDARY_ROLES i Snowflake. Ställ in OAUTH_USE_SECONDARY_ROLES = IMPLICIT, utelämna ALLOWED_ROLES_LIST och ange ett uttryckligt omfång för den primära rollen. Snowflake tillåter inte sekundära roller med IMPLICIT tillsammans med ALLOWED_ROLES_LIST. Utelämna därför listan över tillåtna roller när du använder den här modellen.

Använd en dedikerad roll med lägsta möjliga behörighet för MCP-servern när så är möjligt.

Tilldela rollen via den vanliga processen för identitetshantering. Om medlemskap i Snowflake-roller hanteras via Okta eller SCIM ska du inte lägga till användare manuellt utanför den processen.

Skapa eller välj en databas och ett schema som ägs av det team som ska köra servern.

För styrda affärsfrågor kan du göra en Cortex Agent tillgänglig som verktyg för medlemmarna. Då samlas semantiska vyer, verifierade frågor, Search och orkestrering på ett ställe. Du behöver inte använda en Cortex Agent. Om du skapar en, använd specifikationen nedan. Om du ersätter en befintlig agent ska den nya följa den godkända specifikationen.

Andra stödda Snowflake MCP-verktygstyper inkluderar CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC och SYSTEM_EXECUTE_SQL.

Ge varje verktyg ett tydligt namn och en beskrivning. Förklara vilka data det omfattar, hur detaljerade resultaten är och när verktyget ska användas. Då blir det lättare för agenten att välja rätt verktyg.

USAGE-privilegiet på en MCP-server låter en roll ansluta till servern och se vilka verktyg som finns. Det ger inte rollen åtkomst till det virtuella datalagret, agenten, den semantiska vyn, Search-tjänsten, den lagrade proceduren eller underliggande data. Ge rollen åtkomst till de resurser som serverns verktyg behöver.

Ge bara åtkomst till de ytterligare resurser som varje verktyg behöver. Ge till exempel rollen SELECT för en godkänd semantisk vy, USAGE för en Cortex Search-tjänst eller USAGE för en specifik funktion eller procedur. Tilldela inte rollen till PUBLIC och ge den inte omfattande behörigheter för befintliga eller framtida objekt.

Innan du konfigurerar OAuth, kontrollera MCP-servern och de behörigheter som har beviljats:

Konfigurera MCP-schemat så att det anger exakt vilken roll medlemmarna ska begära:

Använd ett tydligt angivet rollomfång. Använd inte session:role:all. Snowflake tolkar det värdet som användarens primära standardroll, inte som åtkomst till alla roller. Policyer för privilegierade roller kan också blockera det. En tydligt angiven roll gör det lättare att se och kontrollera vilken åtkomst som begärs.

Prata med administratören för Notion-arbetsytan innan du kör SQL-koden. Be administratören ange Snowflake-serverns webbadress i formuläret för MCP-konfiguration i arbetsytan och aktivera Konfigurera autentisering manuellt och Använd en OAuth-klient som delas inom arbetsytan. Notion skapar en omdirigerings-URI. Kopiera den och skicka den till Snowflake-administratören. När Snowflake har skapat ett klient-ID och en klienthemlighet kan arbetsytans administratör slutföra anslutningen.

Använd omdirigerings-URI:n exakt som Notion anger den. Lägg inte till ett avslutande snedstreck eller frågeparametrar och ändra inte värdnamnet.

Att ställa in IS_AGENTIC = TRUE markerar sessioner som skapats genom denna integrering som agentsessioner. Snowflakes IS_AGENT_ACTIVATED()-funktion returnerar då TRUE, vilket gör att Snowflake kan tillämpa agentspecifik granskning och styrning. Om du använder den valfria modellen för sekundära roller ställer du in OAUTH_USE_SECONDARY_ROLES = IMPLICIT och utelämnar ALLOWED_ROLES_LIST.

En giltighetstid för uppdateringstoken på 7 776 000 sekunder motsvarar 90 dagar. Kontrollera att den följer organisationens policyer för förnyad auktorisering och byte av token innan du använder den. Undvik CREATE OR REPLACE SECURITY INTEGRATION vid rutinändringar. Om du ersätter integreringen kan befintliga anslutningar avbrytas.

Kör följande för att kontrollera integreringen utan att visa klienthemligheten:

Kontrollera att integreringen är aktiverad, att omdirigerings-URI:n stämmer exakt och att rollen är tillåten och inte blockerad. Kontrollera också att uppdateringstoken och PKCE är aktiverade och att både auktoriserings- och tokenslutpunkten använder Snowflakes offentliga värdnamn för kontot.

Det här steget behövs bara om organisationen kräver en nätverkspolicy. Be den som ansvarar för säkerhet eller nätverk att godkänna Notions aktuella IP-adressintervall för utgående trafik.

OAuth-integreringen måste tillåta båda Notion-sökvägarna:

1. API-sökvägen som hanterar OAuth-återanrop och utbyter auktoriseringskoder

2. sökvägen som arbetsytan använder för att validera anslutningen, köra verktyg och uppdatera token

Dessa sökvägar kan använda olika Notion-adresser för utgående trafik. Om du endast tillåter den adress som användes vid det första tokenutbytet kan inloggningen lyckas, men validering eller uppdatering av token kan misslyckas. Använd Notions aktuella, godkända IP-adressintervall för utgående trafik. Lägg inte till en enstaka IP-adress från en webbläsare eller logg i tillåtelselistan för produktionsmiljön.

Koppla nätverkspolicyn till OAuth-integreringen, inte till enskilda användare. Ändra inte policyerna för hela kontot som styr inloggning via webbläsare, VPN-åtkomst eller användarnas nätverksåtkomst. Om en nätverkspolicy blockerar en tokenbegäran kan Snowflake returnera invalid_client. Det betyder inte nödvändigtvis att klient-ID:t eller klienthemligheten är felaktig.

Kör detta i ett säkert Snowflake-arbetsblad. Integreringens namn är skiftlägeskänsligt och skrivs vanligtvis med versaler:

Dela klient-ID:t och dess matchande hemlighet med administratören för din Notion-arbetsyta via en godkänd säker kanal. Snowflake tillhandahåller två giltiga hemligheter, så att du kan rotera dem utan driftstopp. Klistra aldrig in någon av hemligheterna i dokumentation, chatt, ärenden eller källkodshantering.

När Snowflake är redo lägger en ägare eller administratör av arbetsytan till servern en gång för arbetsytan. Medlemmar kan sedan hitta den utan att se OAuth-klienthemligheten, oavsett om de ansluter Snowflake MCP till en skräddarsydd agent eller till sin egen Notion-agent.

1. Gå till Inställningar för arbetsytan.

2. Välj Anslutningar → Delade MCP:er för arbetsytan.

3. Välj Ny MCP för arbetsytan.

Fyll i dessa fält och välj sedan Lägg till MCP-server:

Kontrollera efter att du sparat att den nya raden visas under Delat med den här arbetsytan och att Arbetsytans OAuth-klient visar Konfigurerad.

Vad den här konfigurationen gör:

• Hjälper medlemmar att hitta den godkända servern.

• Lagrar OAuth-klienthemligheten en gång i Notions krypterade lagring för anslutningar.

• Ser till att medlemmarna loggar in med den serveradress, klient och de omfång som du har godkänt.

• Skapar inte en delad Snowflake-session och kringgår inte Snowflakes åtkomstkontroller.

• Ansluter inte varje medlem automatiskt. Varje person måste logga in separat.

Om du tar bort den här konfigurationen kan nya medlemmar inte längre hitta servern. Befintliga anslutningar kan fortfarande visas, så samordna denna ändring med att återkalla Snowflake-behörigheter och ta bort befintliga anslutningar.

När administratörerna har förberett Snowflake MCP-anslutningen kan du använda den på två sätt. Konfigurerar du den för ett team? Börja med 11A. Vill du bara ställa egna frågor? Gå direkt till 11B. Du kan också göra båda. Det är två separata anslutningar.

En skräddarsydd agent ger ditt team en samlad plats för att ställa frågor om Snowflake-data. Du ansluter Snowflake en gång, lägger till instruktioner om dina mätvärden och tabeller, och delar agenten med ditt team. Alla som använder den kommer att behöva logga in på Snowflake med sina egna inloggningsuppgifter, så att varje person endast får svar baserat på den data de har behörighet att se.

Anslut Snowflake till en skräddarsydd agent

1. Öppna din skräddarsydda agent, eller skapa en ny.

2. Gå till Inställningar → Verktyg och åtkomst.

3. Välj Lägg till anslutning, välj sedan Snowflake-servern märkt Workspace Managed. Välj inte Custom MCP server och ange inte serverns webbadress manuellt.

4. Logga in på Snowflake i din webbläsare. Din organisations vanliga Okta- eller SSO-inloggning kan visas.

5. Granska och godkänn den begärda Snowflake-rollen.

6. Välj vilka verktyg agenten får använda. Låt verktyg som kan skriva data och CORTEX_AGENT_RUN kräva godkännande tills du har testat dem.

7. Välj Anslut och bekräfta att anslutningen visas som Ansluten.

Ge agenten sammanhang

Anslutningen ger agenten åtkomst till Snowflake. Dina instruktioner talar om hur företaget använder dessa data. Beskriv i agentens instruktioner vilka verktyg den ska använda för olika typer av frågor, hur teamet definierar viktiga mätvärden och vilka tabeller eller semantiska vyer den ska utgå från. Några verifierade exempelfrågor räcker långt. Vill du ha något att utgå från? Se guiden till Data Scout-verktygslådan.

Dela agenten

Dela agenten med ditt team på samma sätt som du delar vilken skräddarsydd agent som helst. Första gången någon ställer en fråga som kräver Snowflake kommer de att uppmanas att logga in med sitt eget Snowflake-konto. De kommer inte att behöva ange något klient-ID eller någon klienthemlighet.

Om du vill ställa dina egna frågor i din egen chatt kan du ansluta Snowflake till din Notion-agent. Du loggar in med ditt eget Snowflake-konto, så att din agent endast når det du har behörighet att se.

1. Gå till Inställningar → Notion AI.

2. Under MCP-servrar väljer du Lägg till MCP-server.

3. Välj Snowflake-servern märkt Workspace Managed. Välj inte Custom MCP server och ange inte serverns webbadress manuellt.

4. Välj Anslut.

5. Logga in på Snowflake i din webbläsare. Din organisations vanliga Okta- eller SSO-inloggning kan visas.

6. Granska och godkänn den begärda Snowflake-rollen.

7. När din webbläsare frågar om du vill öppna Notion väljer du Öppna Notion.

8. Bekräfta att serverstatusen är Ansluten, inte Kräver autentisering.

När du har anslutit visas Snowflake under Alla källor → MCP-servrar i chatten.

1. Ställ en ofarlig fråga med ett känt svar som bör besvaras med hjälp av Snowflake.

2. Bekräfta att agenten använder Snowflake och returnerar ett resultat.

3. Bekräfta att du inte kan komma åt data utanför den roll du har tilldelats.

Om du konfigurerar en skräddarsydd agent kan du också be en teammedlem med en mer begränsad Snowflake-roll att testa den. Personen bör bara se sina egna data, inte dina. Det är det snabbaste sättet att kontrollera att agenten använder varje persons åtkomst, inte åtkomsten hos den som skapade agenten.

För en mer ingående kontroll, be din Snowflake-administratör att bekräfta din användare, roll, ditt datalager och din frågehistorik. En lyckad inloggning bekräftar din identitet, men inte att alla behörigheter är korrekta.

Ställ en specifik fråga till agenten om din Snowflake-data. Till exempel:

• ”Från Snowflake, hur många registreringar hade vi totalt förra månaden?”

• ”Från Snowflake, vilka tio konton gav oss högst intäkter det här kvartalet?”

Med en skräddarsydd agent kan du oftast utelämna ”från Snowflake” när instruktionerna tydligt anger när Snowflake ska användas. Med din Notion-agent hjälper det att nämna Snowflake så att agenten väljer rätt källa.

Stora förfrågningar kan ta längre tid eller nå tidsgränsen. Om det händer, ställ en mer avgränsad fråga eller dela upp förfrågan i mindre frågor.

För det mesta förblir du ansluten utan att behöva göra något. Snowflake använder kortlivade åtkomsttoken, och Notion förnyar dem i bakgrunden. Att en åtkomsttoken håller på att löpa ut innebär inte i sig att du kopplas från.

Du behöver logga in igen om:

• Din uppdateringstoken går ut eller en administratör återkallar den

• En administratör ersätter OAuth-integreringen eller klienthemligheten

• Din Snowflake-roll tas bort

• En administratör tar bort arbetsytans konfiguration eller din anslutning

• En nätverkspolicy blockerar token-uppdateringen

Med en skräddarsydd agent är varje persons inloggning separat. Om en person ombeds logga in igen påverkar det inte någon annan, och personen som byggde agenten behöver inte göra någonting.

Om du roterar klienthemligheten: Använd Snowflakes rotation med två hemligheter istället för att ersätta integreringen. Behåll båda hemligheterna giltiga tillräckligt länge för att uppdatera och testa arbetsytans konfiguration innan du drar tillbaka den gamla.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflakes MCP-anslutning finns inte i listan. Arbetsytans administratör kanske inte har lagt till den än, eller så begränsar arbetsytan användningen av anpassade servrar. Be administratören om hjälp.

• Du ombeds ange ett klient-ID eller en klienthemlighet. Du valde förmodligen alternativet för en anpassad MCP-server. Gå tillbaka och välj Snowflake-servern märkt Workspace Managed i stället.

• Du ombeds logga in igen. Din Snowflake-session kan ha gått ut, eller så kan en administratör ha uppdaterat anslutningen. Logga in på Snowflake igen.

• Du öppnade en skräddarsydd agent och blev ombedd att logga in på Snowflake. Det är som det ska första gången. Alla som använder en hanterad skräddarsydd agent måste logga in med sina egna Snowflake-inloggningsuppgifter.

• En teammedlem får andra resultat från samma skräddarsydda agent. Det är som det ska. Agenten använder varje persons Snowflake-åtkomst, så personer med olika roller ser olika data.

• Den skräddarsydda agenten fungerar i chatten men inte enligt ett schema. Schemalagda och utlösta körningar har ingen inloggad person, så de kan ännu inte använda Snowflake med individuell inloggning.

• Du har loggat in, men anslutningen fungerar inte eller verktygen slutar fungera. Inloggningen bekräftar vem du är, men din åtkomst beror fortfarande på dina behörigheter i Snowflake. Be din Snowflake-administratör kontrollera att din roll har åtkomst till servern, det virtuella datalagret, agenten och data.

• Agenten kan inte hitta en tabell. Agenten kan bara nå data som ditt Snowflake-konto har åtkomst till. Kontrollera dina behörigheter i Snowflake och ange tabellnamnet i din fråga.

• En förfrågan tar för lång tid. Ställ en mer specifik fråga eller dela upp förfrågan i mindre frågor.

Felen beror oftast på inställningar i Snowflake, inte i Notion. Visa dem för din Snowflake-administratör.

• Serverns webbadress verkar ha dubbla prefix, som https://https%3A... Adressen har klistrats in med ett extra https:// i början. Ta bort det extra prefixet så att webbadressen börjar med bara ett https://.

• Du ser ”This server does not support OAuth authentication.” Säkerhetsintegreringen är inte konfigurerad för OAuth, eller så är serverns webbadress felaktig. Be din Snowflake-administratör kontrollera OAuth-säkerhetsintegreringen och serverns webbadress.

• Du ser invalid_client när du loggar in eller uppdaterar. Klient-ID:t eller klienthemligheten är felaktig, eller så har klienthemligheten ändrats. Be din administratör om aktuellt klient-ID och aktuell klienthemlighet.

• Du kan logga in, men det slutar fungera direkt efteråt. Din roll kanske inte har åtkomst till servern, eller så blockerar en roll eller nätverksregel sessionen. Be din administratör kontrollera dina behörigheter och policyer.

• Du ser ”The role ALL requested has been explicitly blocked.” Anslutningen begärde alla roller samtidigt med session:role:all, men det är blockerat. Ange i stället en specifik roll med ditt riktiga rollnamn, till exempel session:role:analyst.

• Du ser ett omdirigeringsfel, fel 390307. Webbadressen för omdirigering som sparats i Snowflake matchar inte den som Notion använder. Be din administratör ange exakt den webbadress som Notion använder i säkerhetsintegreringen.

• Du ser fel 390311 om en ogiltig kodutmaning. PKCE-värdena matchar inte. Be din administratör kontrollera att OAUTH_ENFORCE_PKCE är korrekt inställt i säkerhetsintegreringen.

• Du är ansluten, men inga verktyg visas. Din roll kanske saknar USAGE på MCP-servern. Be din administratör att bekräfta behörigheten och kör sedan DESCRIBE MCP SERVER för att kontrollera konfigurationen.

• Du har åtkomst till mer eller mindre data än du väntade dig. Sekundära roller påverkar vilka data du kan se under sessionen. Be din administratör hjälpa dig att kontrollera vilka roller som är aktiva.

• Det fungerade tidigare, men efter att klienthemligheten ändrades fungerar det inte längre för någon. Klienthemligheten har bytts ut, så den sparade anslutningen är inaktuell. Be din administratör om den nya klienthemligheten och anslut igen.

• Det fungerade tidigare, men nu fungerar det inte längre för dig. En roll, behörighet eller policy kan ha ändrats, eller så har din session löpt ut. Logga in igen och be din administratör kontrollera att din åtkomst inte har ändrats.

• Din kontoidentifierare avvisas. Använd formatet organization-account med ett bindestreck, som myorg-myaccount, inte punkter.

• Ett PrivateLink-konto kan inte ansluta. PrivateLink-konton kräver extra nätverkskonfiguration. Fråga din administratör om PrivateLink tillåter Notion-anslutningen.

• Snowflake är inte tillgängligt i schemalagda körningar eller körningar som startas av en utlösare. Ingen är inloggad under de här körningarna, så de kan ännu inte använda personlig inloggning. Kör din förfrågan i chatten i stället.

• Du ser oauth_security_error efter att du har loggat in via webbläsaren. En nätverkspolicy på kontonivå kan blockera förfrågan. Din administratör kan kontrollera det genom att köra:

• Inloggningen verkar fungera, men du får ett rollfel trots att du har angett rätt behörighetsomfattning. Din standardroll kan vara blockerad, till exempel ACCOUNTADMIN eller en roll i BLOCKED_ROLES_LIST. Din administratör kan kontrollera och åtgärda det:

Dessa skrivskyddade kommandon hjälper din administratör att bekräfta konfigurationen utan att ändra något. Kör dem i Snowflake.

Använd dessa Snowflake-guider för att slutföra konfigurationen:

• MCP-server som hanteras av Snowflake

• Skapa en OAuth-säkerhetsintegrering i Snowflake

• Snowflake OAuth för anpassade klienter

• Översikt över Snowflake OAuth

• Identifierare för Snowflake-konton

• Skräddarsydda agenter

• MCP-anslutningar för skräddarsydda agenter

• Anslut MCP-servrar till din Notion-agent

• Säkerhetsråd för agentanslutningar