Sådan konfigurerer du Snowflake MCP til Notion

Dine tilpassede agenter og din Notion-agent kan oprette forbindelse til Snowflake via en MCP (Model Context Protocol)-server, som Snowflake driver. Når den er konfigureret, kan du spørge din agent om dataene i dit Snowflake-warehouse og få svar direkte i Notion.

Opsætningen foregår i trin, som forskellige personer har ansvar for:

• En Snowflake-administrator konfigurerer rollen, warehouset og den Snowflake-administrerede MCP-server.

• En ejer eller administrator af et Notion-arbejdsområde konfigurerer Snowflake MCP-forbindelsen til arbejdsområdet.

• Medlemmer af arbejdsområdet kan derefter oprette forbindelse til Snowflake MCP fra tilpassede agenter ved hjælp af deres egne Snowflake-legitimationsoplysninger eller forbinde Snowflake direkte til deres Notion-agent. Trin 1–10 i denne artikel er de samme for begge fremgangsmåder. Fremgangsmåderne adskiller sig fra trin 11, afhængigt af hvilken agent du vil forbinde.

• De tilgængelige værktøjer kan variere afhængigt af din Snowflake-cloudregion.

• Snowflakes administrerede MCP-server er ikke tilgængelig på det kinesiske fastland eller i cloudregioner for myndigheder.

• Dit Notion-arbejdsområde skal være på et Business- eller Enterprise-abonnement.

• Brug Notion i browseren eller desktop-appen. Funktionen er ikke tilgængelig på mobilen.

• Din virksomhed skal have en Snowflake-konto.

• For at oprette en tilpasset agent skal du have tilladelse til at oprette agenter i dit arbejdsområde.

Før dit team kan forbinde Snowflake til Notion, skal en Snowflake-administrator konfigurere adgangen. Det er det mest omfattende trin, og du skal kun gøre det én gang. Samarbejd med administratoren af dit Notion-arbejdsområde: Notion leverer en URI til omdirigering, og Snowflake leverer et OAuth-klient-id og en OAuth-klienthemmelighed.

Du skal konfigurere en rolle og et warehouse, oprette den Snowflake-administrerede MCP-server, give den adgang til de ressourcer, den har brug for, konfigurere OAuth-scope og sikkerhedsintegration samt tilføje en netværkspolitik, hvis din organisation kræver det.

Udfyld dette arbejdsark sammen med administratoren for dit Notion-arbejdsområde, før du starter. Medlemmer kan springe det over og logge ind med deres egne Snowflake-konti, når konfigurationen er fuldført.

Kontoens værtsnavn bruger bindestreger, ikke understregninger. Sørg for, at hvert objektnavn i server-URL'en matcher det tilsvarende objektnavn i Snowflake.

Brug en dedikeret rolle med færrest mulige rettigheder og ét godkendt warehouse, når det er muligt.

Begrænset rolle uden sekundære roller (anbefales). Denne model er lettere at forstå og revidere. Indstil OAUTH_USE_SECONDARY_ROLES = NONE, angiv ALLOWED_ROLES_LIST, og brug Notion-omfanget session:role:<mcp_access_role>.

En brugers sekundære standardroller (valgfrit). Brug kun denne model, når serveren har brug for rettigheder nedarvet fra hver brugers Snowflake DEFAULT_SECONDARY_ROLES. Indstil OAUTH_USE_SECONDARY_ROLES = IMPLICIT, udelad ALLOWED_ROLES_LIST, og brug et eksplicit omfang for primær rolle. Snowflake tillader ikke IMPLICIT sekundære roller med ALLOWED_ROLES_LIST, så udelad tilladelseslisten, når du bruger denne model.

Brug en dedikeret rolle med færrest mulige rettigheder til MCP-serveren, når det er muligt.

Tildel denne rolle gennem din normale proces for identitetsstyring. Hvis Okta eller SCIM administrerer Snowflake-rolletilknytning, må du ikke tilføje brugere manuelt uden for denne proces.

Opret eller vælg en database og et skema, der ejes af det team, som skal køre serveren.

Til forretningsspørgsmål med krav til datastyring kan du gøre en Cortex Agent tilgængelig som værktøj for medlemmerne. Den samler semantiske visninger, verificerede forespørgsler, søgning og orkestrering ét sted. En Cortex Agent er valgfri. Hvis du opretter en, skal du bruge specifikationen nedenfor. Hvis du erstatter en eksisterende agent, skal du sikre dig, at den nye agent følger din godkendte specifikation.

Andre understøttede Snowflake MCP-værktøjstyper er CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC og SYSTEM_EXECUTE_SQL.

Giv hvert værktøj et klart navn og en beskrivelse. Forklar, hvilke data det dækker, hvor detaljerede resultaterne er, og hvornår det skal bruges. Dette hjælper agenten med at vælge det rigtige værktøj.

USAGE-privilegiet på en MCP-server lader en rolle oprette forbindelse til serveren og finde dens værktøjer. Det giver ikke rollen adgang til warehouset, agenten, den semantiske visning, Search-tjenesten, den lagrede procedure eller de underliggende data. Giv rollen adgang til hver ressource, som serverens værktøjer har brug for.

Giv kun adgang til de yderligere ressourcer, som hvert værktøj har brug for. Giv for eksempel SELECT på en godkendt semantisk visning, USAGE på en Cortex Search-tjeneste eller USAGE på en specifik funktion eller procedure. Tildel ikke rollen til PUBLIC og tilføj ikke brede privilegier for nuværende eller fremtidige objekter.

Før du konfigurerer OAuth, skal du tjekke MCP-serveren og de rettigheder, den har fået tildelt:

Konfigurer MCP-skemaet så det angiver præcis hvilken rolle medlemmerne skal anmode om:

Brug et eksplicit rollescope. Brug ikke session:role:all. Snowflake fortolker værdien som brugerens primære standardrolle, ikke som adgang til alle roller. Politikker for privilegerede roller kan desuden blokere den. En eksplicit rolle gør det tydeligt hvilken adgang der anmodes om, og gør den lettere at kontrollere.

Før du kører denne SQL, skal du tale med administratoren for dit Notion-arbejdsområde. Bed vedkommende om at indtaste Snowflake-serverens webadresse i formularen til MCP-opsætning i arbejdsområdet og slå Konfigurer godkendelse manuelt og Brug en OAuth-klient, der deles med arbejdsområdet til. Notion genererer en omdirigerings-URI. Kopiér den, og send den til Snowflake-administratoren. Når Snowflake har oprettet klient-id'et og klienthemmeligheden, kan administratoren færdiggøre opsætningen af forbindelsen.

Brug omdirigerings-URI'en præcis som Notion angiver den. Tilføj ikke en afsluttende skråstreg eller forespørgselsparametre, og ændr ikke værten.

Når du indstiller IS_AGENTIC = TRUE, markeres sessioner oprettet via denne integration som agentsessioner. Snowflakes funktion IS_AGENT_ACTIVATED() returnerer derefter TRUE, så Snowflake kan anvende agentspecifik revisionslogning og styring. Hvis du bruger den valgfrie model med sekundære roller, skal du indstille OAUTH_USE_SECONDARY_ROLES = IMPLICIT og udelade ALLOWED_ROLES_LIST.

Gyldighedsperioden for opdateringstokenet på 7776000 sekunder svarer til 90 dage. Før du bruger værdien, skal du sikre dig at den stemmer overens med din organisations politikker for genautorisation og rotation af tokens. Undgå CREATE OR REPLACE SECURITY INTEGRATION ved rutinemæssige ændringer. Hvis du erstatter integrationen, kan det afbryde eksisterende forbindelser.

Kør følgende for at kontrollere integrationen uden at vise dens hemmelighed:

Bekræft at integrationen er slået til, at omdirigerings-URI'en stemmer præcis overens, at rollen er tilladt og ikke blokeret, at opdateringstokens og PKCE er slået til, og at både autorisations- og tokenendpointet bruger Snowflake-kontoens offentlige vært.

Dette trin er kun nødvendigt hvis din organisation kræver en netværkspolitik. Bed den ansvarlige for sikkerhed eller netværk om at godkende Notions aktuelle intervaller af udgående IP-adresser.

OAuth-integrationen skal tillade begge Notion-stier:

1. API-stien der håndterer OAuth-callbacks og udveksler autorisationskoder

2. stien til arbejdsområdets kørselsmiljø der validerer forbindelsen, kører værktøjer og opdaterer tokens

Disse stier kan bruge forskellige udgående IP-adresser hos Notion. Hvis du kun tillader den adresse der blev brugt under den første udveksling af tokens, kan login lykkes selvom validering eller opdatering af tokens fejler. Brug Notions aktuelle, godkendte intervaller af udgående IP-adresser. Tilføj ikke en enkeltstående IP-adresse fra en browser eller en log til en tilladelsesliste i produktionsmiljøet.

Knyt netværkspolitikken til OAuth-integrationen, ikke til individuelle brugere. Du må ikke ændre dine politikker for hele kontoen om browserlogin, VPN-adgang eller brugeres netværksadgang. Hvis en netværkspolitik blokerer en tokenanmodning, kan Snowflake returnere invalid_client. Fejlen betyder ikke nødvendigvis at klient-id'et eller hemmeligheden er forkert.

Kør dette i et sikkert Snowflake-arbejdsark. Der skelnes mellem store og små bogstaver i integrationens navn, som normalt skrives med store bogstaver:

Del klient-id'et og den tilhørende hemmelighed med en administrator for dit Notion-arbejdsområde via en godkendt sikker kanal. Snowflake leverer to gyldige hemmeligheder, så du kan rotere dem uden nedetid. Indsæt aldrig nogen af hemmelighederne i dokumentation, chat, supportsager eller versionsstyring.

Når Snowflake er klar, tilføjer en ejer eller administrator af arbejdsområdet serveren én gang for hele arbejdsområdet. Medlemmerne kan derefter finde den uden at se OAuth-klienthemmeligheden, uanset om de forbinder Snowflake MCP til en tilpasset agent eller deres egen Notion-agent.

1. Gå til Indstillinger for arbejdsområdet.

2. Vælg Forbindelser → Delte MCP'er for arbejdsområdet.

3. Vælg Ny MCP-server til arbejdsområdet.

Udfyld disse felter, og vælg derefter Tilføj MCP-server:

Når du har gemt, skal du bekræfte at den nye række vises under Delt med dette arbejdsområde, og at OAuth-klient for arbejdsområdet viser Konfigureret.

Hvad denne opsætning gør:

• Hjælper medlemmer med at finde den godkendte server.

• Gemmer OAuth-klienthemmeligheden én gang i Notions krypterede forbindelseslager.

• Sikrer at medlemmer logger ind med den server-URL, den klient og de scopes du har godkendt.

• Opretter ikke en delt Snowflake-session og omgår ikke Snowflakes adgangskontroller.

• Forbinder ikke automatisk hvert medlem. Hver person skal logge ind separat.

Hvis du fjerner denne opsætning, kan nye medlemmer ikke længere finde serveren. Eksisterende forbindelser kan stadig blive vist, så koordinér denne ændring med tilbagekaldelse af Snowflake-rettigheder og fjernelse af eksisterende forbindelser.

Når dine administratorer har Snowflake MCP-forbindelsen klar, er der to måder at bruge den på. Hvis du opsætter den for et team, skal du starte med 11A. Hvis du bare vil stille dine egne spørgsmål, skal du springe til 11B. Du kan også gøre begge dele. Det er separate forbindelser.

En tilpasset agent giver dit team ét sted at stille spørgsmål om Snowflake-data. Du forbinder Snowflake én gang, tilføjer instruktioner om dine målinger og tabeller og deler agenten med dit team. Alle der bruger den, skal logge ind på Snowflake med deres egne legitimationsoplysninger. På den måde får de kun svar baseret på data de har adgang til.

Forbinde Snowflake til en tilpasset agent

1. Åbn din tilpassede agent, eller opret en ny.

2. Gå til Indstillinger → Værktøjer og adgang.

3. Vælg Tilføj forbindelse, og vælg derefter Snowflake-serveren mærket Workspace Managed. Vælg ikke Custom MCP server, og indtast ikke server-URL'en manuelt.

4. Log ind på Snowflake i din browser. Din organisations sædvanlige login via Okta eller SSO kan blive vist.

5. Gennemse og godkend den anmodede Snowflake-rolle.

6. Vælg hvilke værktøjer agenten må bruge. Lad værktøjer, der kan skrive data, og CORTEX_AGENT_RUN være indstillet til at bede om godkendelse, indtil du har testet dem.

7. Vælg Forbind, og bekræft at forbindelsen vises som Forbundet.

Give agenten kontekst

Forbindelsen giver agenten adgang til Snowflake. Dine instruktioner fortæller den hvordan din virksomhed bruger dataene. Beskriv i agentens instruktioner hvilke værktøjer den skal bruge til forskellige spørgsmål, hvordan dit team definerer nøgletal, og hvilke tabeller eller semantiske visninger den skal tage udgangspunkt i. Et par gennemprøvede eksempelspørgsmål gør en stor forskel. Se vejledningen til Data Scout-værktøjskassen for at få et færdigt udgangspunkt.

Dele agenten

Del agenten med dit team på samme måde som du deler andre tilpassede agenter. Første gang nogen stiller agenten et spørgsmål der kræver Snowflake, bliver de bedt om at logge ind med deres egen Snowflake-konto. De bliver ikke bedt om et klient-id eller en klienthemmelighed.

Hvis du vil stille dine egne spørgsmål i din egen chat, skal du forbinde Snowflake til din Notion-agent. Du logger ind med din egen Snowflake-konto, så din agent kun får adgang til det du har tilladelse til at se.

1. Gå til Indstillinger → Notion AI.

2. Under MCP-servere skal du vælge Tilføj MCP-server.

3. Vælg Snowflake-serveren mærket Workspace Managed. Vælg ikke Custom MCP server, og indtast ikke server-URL'en manuelt.

4. Vælg Forbind.

5. Log ind på Snowflake i din browser. Du får muligvis vist din organisations sædvanlige login via Okta eller SSO.

6. Gennemse og godkend den anmodede Snowflake-rolle.

7. Når din browser spørger om den skal åbne Notion, skal du vælge Åbn Notion.

8. Bekræft at serverens status er Forbundet, ikke Kræver godkendelse.

Når du har oprettet forbindelse, vises Snowflake i Alle kilder → MCP-servere i chatten.

1. Stil et harmløst spørgsmål med et kendt svar, som burde bruge Snowflake.

2. Bekræft, at agenten bruger Snowflake og returnerer et resultat.

3. Bekræft, at du ikke kan få adgang til data uden for den rolle, du har fået tildelt.

Hvis du har oprettet en tilpasset agent, så bed også et teammedlem med en mere begrænset Snowflake-rolle om at prøve den. Teammedlemmet bør kun kunne se sine egne data, ikke dine. Det er den hurtigste måde at bekræfte at agenten bruger den enkeltes adgang frem for adgangen hos den der oprettede agenten.

Hvis du vil foretage et grundigere tjek, skal du bede din Snowflake-administrator om at bekræfte din bruger, din rolle, dit virtuelle lager og din forespørgselshistorik. Et vellykket login bekræfter din identitet, men ikke at alle rettigheder er korrekte.

Stil agenten et specifikt spørgsmål om dine Snowflake-data. For eksempel:

• "Hvor mange tilmeldinger havde vi i alt i sidste måned ifølge Snowflake?"

• "Hvilke ti konti havde den højeste omsætning i dette kvartal ifølge Snowflake?"

Med en tilpasset agent kan du normalt springe "fra Snowflake" over, når dens instruktioner gør det klart, hvornår den skal bruges. Med din Notion-agent hjælper det at nævne Snowflake med at få agenten til at vælge den rigtige kilde.

Store anmodninger kan tage længere tid eller overskride tidsgrænsen. Hvis det sker, så stil et mere specifikt spørgsmål eller opdel anmodningen i mindre spørgsmål.

Det meste af tiden forbliver du forbundet uden at gøre noget. Snowflake bruger kortlivede adgangstokens, og Notion opdaterer dem i baggrunden. Et udløbende adgangstoken i sig selv vil ikke afbryde din forbindelse.

Du skal logge ind igen, hvis:

• Dit opdateringstoken udløber, eller en administrator tilbagekalder det

• En administrator erstatter OAuth-integrationen eller klienthemmeligheden

• Din Snowflake-rolle fjernes

• En administrator fjerner arbejdsområdets opsætning eller din forbindelse

• En netværkspolitik blokerer opdatering af tokenet

Med en tilpasset agent logger hver person ind for sig. Hvis én bliver bedt om at logge ind igen, påvirker det ikke andre, og den der oprettede agenten, behøver ikke at gøre noget.

Hvis du udskifter klienthemmeligheden: Brug Snowflakes rotation med to hemmeligheder i stedet for at udskifte integrationen. Sørg for, at begge hemmeligheder forbliver gyldige længe nok til, at du kan opdatere og teste arbejdsområdets opsætning, før du udfaser den gamle.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflake-MCP-forbindelsen står ikke på listen. Administratoren for dit arbejdsområde har muligvis ikke tilføjet den endnu, eller dit arbejdsområde begrænser muligvis brugerdefinerede servere. Bed din administrator om hjælp.

• Du bliver bedt om et klient-id eller en klienthemmelighed. Du har sandsynligvis valgt indstillingen for en brugerdefineret MCP-server. Gå tilbage, og vælg i stedet Snowflake-serveren mærket Workspace Managed.

• Du bliver bedt om at logge på igen. Din Snowflake-session er muligvis udløbet, eller en administrator har muligvis opdateret forbindelsen. Log på Snowflake igen.

• Du åbnede en tilpasset agent, og den bad dig om at logge på Snowflake. Det er helt normalt første gang. Alle, der bruger en administreret tilpasset agent, skal logge på med deres egne Snowflake-loginoplysninger.

• Et teammedlem får andre resultater fra den samme tilpassede agent. Det er helt normalt. Agenten bruger hver persons Snowflake-adgang, så personer med forskellige roller ser forskellige data.

• Den tilpassede agent virker i chat, men ikke efter en tidsplan. Planlagte og udløste kørsler har ikke en person logget ind, så de kan endnu ikke bruge Snowflake med individuel pålogning.

• Du loggede ind, men der kan ikke oprettes forbindelse, eller værktøjerne fungerer ikke. Dit login bekræfter din identitet, men din adgang afhænger stadig af dine Snowflake-rettigheder. Bed din Snowflake-administrator om at bekræfte at din rolle giver adgang til serveren, det virtuelle lager, agenten og dataene.

• Agenten kan ikke finde en tabel. Agenten kan kun få adgang til de data, din Snowflake-konto kan få adgang til. Tjek dine Snowflake-tilladelser, og inkluder tabelnavnet i dit spørgsmål.

• En anmodning overskrider tidsgrænsen. Stil et mere specifikt spørgsmål, eller del din anmodning op i mindre spørgsmål.

Disse fejl stammer normalt fra Snowflake-indstillinger, ikke Notion. Del dem med din Snowflake-administrator.

• Server-URL'en ser ud til at være fordoblet, f.eks. https://https%3A... Adressen blev indsat med et ekstra https:// foran. Ret det, så URL'en kun starter med ét https://.

• Du ser "This server does not support OAuth authentication." Sikkerhedsintegrationen er ikke sat op til OAuth, eller server-URL'en er forkert. Bed din Snowflake-administrator om at tjekke OAuth-sikkerhedsintegrationen og server-URL'en.

• Du ser invalid_client under pålogning eller opdatering. Klient-id'et eller klienthemmeligheden er forkert, eller klienthemmeligheden er blevet ændret. Bed din administrator om det aktuelle klient-id og den aktuelle klienthemmelighed.

• Det lykkes at logge ind, men forbindelsen svigter med det samme. Din rolle giver dig muligvis ikke adgang til serveren, eller en rolle- eller netværksregel blokerer sessionen. Bed din administrator om at tjekke dine rettigheder og politikker.

• Du ser "The role ALL requested has been explicitly blocked." Forbindelsen anmodede om alle roller på én gang (session:role:all), hvilket er blokeret. Brug én specifik rolle i stedet, såsom session:role:analyst, med dit rigtige rollenavn.

• Du ser en omdirigeringsfejl (fejl 390307). Omdirigerings-URL'en, der er gemt i Snowflake, matcher ikke den, Notion bruger. Bed din administrator om at indstille omdirigerings-URL'en på sikkerhedsintegrationen til den nøjagtige Notion-værdi.

• Du ser fejl 390311 om en ugyldig kodeudfordring. Det skyldes, at PKCE-værdierne ikke stemmer overens. Bed din administrator om at bekræfte, at OAUTH_ENFORCE_PKCE er indstillet korrekt på sikkerhedsintegrationen.

• Du er forbundet, men ingen værktøjer vises. Din rolle mangler muligvis USAGE på MCP-serveren. Bed din administrator om at bekræfte rettigheden, og kør derefter DESCRIBE MCP SERVER for at tjekke opsætningen.

• Du kan få adgang til mere eller mindre data, end du forventede. Sekundære roller ændrer, hvad din session kan se. Tjek hvilke roller der er aktive i din session sammen med din administrator.

• Det virkede før, men efter en ændring af hemmeligheden virker det ikke for nogen. Klienthemmeligheden er blevet udskiftet, så den gemte forbindelse er forældet. Bed din administrator om den nye hemmelighed, og opret derefter forbindelse igen.

• Det virkede før, men nu virker det ikke for dig. En rolle, rettighed eller politik kan være ændret, eller din session er udløbet. Log ind igen, og bed derefter din administrator om at bekræfte, at din adgang ikke er ændret.

• Din kontoidentifikator afvises. Brug organization-account-formatet med en bindestreg, såsom myorg-myaccount, ikke punktummer.

• En PrivateLink-konto kan ikke oprette forbindelse. PrivateLink-konti kræver ekstra netværksopsætning. Spørg din administrator, om PrivateLink tillader Notion-forbindelsen.

• Snowflake er ikke tilgængelig i planlagte eller udløste kørsler. Der er ingen person logget ind under disse kørsler, så de kan endnu ikke bruge individuelt login. Kør din anmodning i chatten i stedet.

• Du ser oauth_security_error efter at have logget ind via browseren. En netværkspolitik på kontoniveau blokerer muligvis anmodningen. Din administrator kan bekræfte dette ved at køre:

• Login ser ud til at fungere, men du får en rollefejl, selv med det rigtige scope. Din standardrolle er muligvis blokeret, for eksempel ACCOUNTADMIN eller en rolle i BLOCKED_ROLES_LIST. Din administrator kan tjekke og rette det:

Disse skrivebeskyttede kommandoer hjælper din administrator med at bekræfte opsætningen uden at ændre noget. Kør dem i Snowflake.

Brug disse Snowflake-vejledninger til at fuldføre opsætningen:

• Snowflake-administreret MCP-server

• Oprette en Snowflake OAuth-sikkerhedsintegration

• Snowflake OAuth til brugerdefinerede klienter

• Oversigt over Snowflake OAuth

• Snowflake-kontoidentifikatorer

• Tilpassede agenter

• MCP-forbindelser til Tilpassede agenter

• Forbinde MCP-servere til din Notion-agent

• Bedste praksis for sikkerhed i agentforbindelser