Konfigurera Snowflake MCP för Notion

Dina skräddarsydda agenter och Notion-agent kan ansluta till Snowflake via en MCP (Model Context Protocol)-server som Snowflake kör. När den är konfigurerad kan du fråga din agent om data i ditt virtuella Snowflake-datalager och få svar direkt i Notion.

Konfigurationen sker i etapper, och olika personer ansvarar för varje del:

• En Snowflake-administratör ställer in rollen, det virtuella datalagret och den Snowflake-hanterade MCP-servern.

• En ägare eller administratör för Notion-arbetsytan konfigurerar MCP-anslutningen till Snowflake för arbetsytan.

• Medlemmar i arbetsytan kan sedan ansluta till Snowflake MCP från skräddarsydda agenter med sina egna Snowflake-inloggningsuppgifter, eller ansluta Snowflake direkt till sin Notion-agent. Steg 1–10 i den här artikeln är desamma för båda alternativen. Från steg 11 skiljer sig stegen åt beroende på vilken agent du vill ansluta.

• De tillgängliga verktygen kan variera beroende på din Snowflake-molnregion.

• Snowflakes hanterade MCP-server är inte tillgänglig i Fastlandskina eller i myndighetsregioner.

• Din Notion-arbetsyta måste ha ett Business- eller Enterprise-abonnemang.

• Använd Notion på webben eller i datorappen. Den här funktionen är inte tillgänglig på mobilen.

• Ditt företag behöver ett Snowflake-konto.

• För att bygga en skräddarsydd agent behöver du behörighet att skapa agenter i din arbetsyta.

Innan ditt team kan ansluta Snowflake till Notion behöver en Snowflake-administratör ställa in åtkomsten. Det är det mest omfattande steget, men det behöver bara göras en gång. Samarbeta med administratören för din Notion-arbetsyta: Notion ger dig en omdirigerings-URI och Snowflake ger dig ett OAuth-klient-ID och en klienthemlighet.

Ställ in en roll och ett virtuellt datalager, skapa den Snowflake-hanterade MCP-servern och ge den åtkomst till de resurser den behöver. Konfigurera sedan OAuth-omfånget och säkerhetsintegreringen. Lägg också till en nätverkspolicy om din organisation kräver det.

Fyll i det här arbetsbladet tillsammans med administratören för din Notion-arbetsyta innan du börjar. Medlemmar kan hoppa över det och logga in med sina egna Snowflake-konton när konfigurationen är klar.

Kontots värdnamn använder bindestreck, inte understreck. Se till att varje objektnamn i serverns webbadress motsvarar objektnamnet i Snowflake.

Använd en dedikerad roll med lägsta möjliga behörighet och ett godkänt virtuellt datalager när så är möjligt.

Begränsad roll utan sekundära roller. Det här är alternativet vi rekommenderar. Modellen är enklare att förstå och granska. Ställ in OAUTH_USE_SECONDARY_ROLES = NONE, ange ALLOWED_ROLES_LIST och använd Notion-omfånget session:role:<mcp_access_role>.

En användares sekundära standardroller. Det här alternativet är valfritt. Använd bara modellen om servern behöver behörigheter som ärvs från varje användares inställning DEFAULT_SECONDARY_ROLES i Snowflake. Ställ in OAUTH_USE_SECONDARY_ROLES = IMPLICIT, utelämna ALLOWED_ROLES_LIST och ange ett omfång för den primära rollen. Snowflake tillåter inte IMPLICIT sekundära roller tillsammans med ALLOWED_ROLES_LIST, så utelämna listan över tillåtna roller när du använder modellen.

Använd en dedikerad roll med lägsta möjliga behörighet för MCP-servern när så är möjligt.

Tilldela rollen genom din vanliga process för identitetshantering. Om Okta eller SCIM hanterar medlemskap i Snowflake-roller ska du inte lägga till användare manuellt utanför den processen.

Skapa eller välj en databas och ett schema som ägs av det team som ska köra servern.

För styrda affärsfrågor kan du göra en Cortex Agent tillgänglig som det verktyg medlemmarna använder. Den samlar semantiska vyer, verifierade frågor, Search och orkestrering på ett ställe. En Cortex Agent är valfri. Om du skapar en ska du använda specifikationen nedan. Om du ersätter en befintlig agent ska du se till att ersättaren uppfyller den godkända specifikationen.

Andra Snowflake MCP-verktygstyper som stöds är CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC och SYSTEM_EXECUTE_SQL.

Ge varje verktyg ett tydligt namn och en beskrivning. Förklara vilka data det omfattar, hur detaljerade resultaten är och när det ska användas. Det hjälper agenten att välja rätt verktyg.

Behörigheten USAGE för en MCP-server gör att en roll kan ansluta till servern och hitta dess verktyg. Den ger inte rollen åtkomst till det virtuella datalagret, agenten, den semantiska vyn, Search-tjänsten, den lagrade proceduren eller underliggande data. Ge rollen åtkomst till varje resurs som serverns verktyg behöver.

Bevilja endast åtkomst till de ytterligare resurser som varje verktyg behöver. Bevilja till exempel SELECT på en godkänd semantisk vy, USAGE på en Cortex-söktjänst eller USAGE på en specifik funktion eller procedur. Bevilja inte rollen till PUBLIC och lägg inte till breda privilegier för nuvarande eller framtida objekt.

Innan du konfigurerar OAuth kontrollerar du MCP-servern och dess tilldelade behörigheter:

Konfigurera MCP-schemat så att det anger exakt vilken roll medlemmarna ska begära:

Använd ett explicit rollomfång. Använd inte session:role:all. Snowflake behandlar det värdet som användarens primära standardroll, inte som åtkomst till alla roller, och policyer för privilegierade roller kan blockera det. En explicit roll gör den begärda åtkomsten tydlig och lättare att kontrollera.

Innan du kör denna SQL samordnar du med administratören för din Notion-arbetsyta. Be administratören ange Snowflake-serverns webbadress i formuläret för MCP-konfiguration i arbetsytan och aktivera Manually configure authentication och Use a workspace-shared OAuth client. Notion genererar en omdirigerings-URI. Kopiera den och skicka den till Snowflake-administratören. När Snowflake har skapat klient-ID och klienthemlighet kan arbetsytans administratör slutföra konfigurationen av anslutningen.

Använd omdirigerings-URI:n exakt som Notion tillhandahåller den. Lägg inte till ett avslutande snedstreck eller frågeparametrar och ändra inte värdnamnet.

Att ställa in IS_AGENTIC = TRUE markerar sessioner som skapats genom denna integrering som agentsessioner. Snowflakes IS_AGENT_ACTIVATED()-funktion returnerar då TRUE, vilket gör att Snowflake kan tillämpa agentspecifik granskning och styrning. Om du använder den valfria modellen för sekundära roller ställer du in OAUTH_USE_SECONDARY_ROLES = IMPLICIT och utelämnar ALLOWED_ROLES_LIST.

Giltighetstiden för uppdateringstoken på 7776000 sekunder motsvarar 90 dagar. Innan du använder värdet bör du bekräfta att det stämmer överens med organisationens policyer för omauktorisering och tokenrotation. Undvik CREATE OR REPLACE SECURITY INTEGRATION vid rutinändringar. Att ersätta integreringen kan avbryta befintliga anslutningar.

För att kontrollera integreringen utan att visa dess hemlighet, kör:

Bekräfta att integreringen är aktiverad, att omdirigerings-URI:n stämmer exakt, att rollen är tillåten och inte blockerad, att uppdateringstokens och PKCE är aktiverade, och att både auktoriserings- och token-slutpunkterna använder Snowflakes offentliga kontovärd.

Detta steg behövs endast om din organisation kräver en nätverkspolicy. Be den säkerhets- eller nätverksansvariga att godkänna Notions aktuella IP-adressintervall för utgående trafik.

OAuth-integreringen måste tillåta båda Notion-sökvägarna:

1. API-sökvägen som hanterar OAuth-återanrop och utbyter auktoriseringskoder

2. arbetsytans körningssökväg som validerar anslutningen, kör verktyg och uppdaterar tokens

Dessa sökvägar kan använda olika utgående IP-adresser för Notion. Om du endast tillåter den adress som användes vid det första tokenutbytet kan inloggningen lyckas, men validering eller uppdatering av token kan misslyckas. Använd Notions aktuella, godkända IP-adressintervall för utgående trafik. Lägg inte till en tillfällig IP-adress från en webbläsare eller logg i en tillåtelselista för produktionsmiljön.

Koppla denna nätverkspolicy till OAuth-integreringen, inte till enskilda användare. Ändra inte dina kontoövergripande policyer för inloggning via webbläsare, VPN-åtkomst eller användarnas nätverksåtkomst. Om en nätverkspolicy blockerar en tokenbegäran kan Snowflake returnera invalid_client. Detta fel innebär inte nödvändigtvis att klient-ID:t eller hemligheten är felaktig.

Kör detta i ett säkert Snowflake-arbetsblad. Integreringens namn är skiftlägeskänsligt och skrivs vanligtvis med versaler:

Dela klient-ID:t och dess matchande hemlighet med administratören för din Notion-arbetsyta via en godkänd säker kanal. Snowflake tillhandahåller två giltiga hemligheter, så att du kan rotera dem utan driftstopp. Klistra aldrig in någon av hemligheterna i dokumentation, chatt, ärenden eller källkodshantering.

När Snowflake är redo lägger en ägare eller administratör av arbetsytan till servern en gång för arbetsytan. Medlemmar kan sedan hitta den utan att se OAuth-klienthemligheten, oavsett om de ansluter Snowflake MCP till en skräddarsydd agent eller till sin egen Notion-agent.

1. Gå till Inställningar för arbetsytan.

2. Välj Anslutningar → Delade MCP:er för arbetsytan.

3. Välj Ny MCP för arbetsytan.

Fyll i dessa fält och välj sedan Lägg till MCP-server:

När du har sparat kontrollerar du att den nya raden visas under Delat med den här arbetsytan och att Arbetsytans OAuth-klient visar Konfigurerad.

Vad den här konfigurationen gör:

• Hjälper medlemmar att hitta den godkända servern.

• Lagrar OAuth-klienthemligheten en gång i Notions krypterade anslutningslagring.

• Säkerställer att medlemmar loggar in med den webbadress till servern, den klient och de behörighetsomfång som du har godkänt.

• Skapar inte en delad Snowflake-session och kringgår inte Snowflakes åtkomstkontroller.

• Ansluter inte varje medlem automatiskt. Varje person måste logga in separat.

Om du tar bort den här konfigurationen kan nya medlemmar inte längre hitta servern. Befintliga anslutningar kan fortfarande visas, så samordna denna ändring med att återkalla Snowflake-behörigheter och ta bort befintliga anslutningar.

När administratörerna har gjort MCP-anslutningen till Snowflake klar kan du använda den på två sätt. Om du konfigurerar den för ett team börjar du med 11A. Vill du bara ställa egna frågor går du direkt till 11B. Du kan också göra båda. Det är separata anslutningar.

En skräddarsydd agent ger ditt team en samlad plats för att ställa frågor om Snowflake-data. Du ansluter Snowflake en gång, lägger till instruktioner om dina mätvärden och tabeller, och delar agenten med ditt team. Alla som använder den kommer att behöva logga in på Snowflake med sina egna inloggningsuppgifter, så att varje person endast får svar baserat på den data de har behörighet att se.

Anslut Snowflake till en skräddarsydd agent

1. Öppna din skräddarsydda agent eller skapa en ny.

2. Gå till Inställningar → Verktyg och åtkomst.

3. Välj Lägg till anslutning och välj sedan Snowflake-servern märkt Workspace Managed. Välj inte Custom MCP server och ange inte serverns webbadress manuellt.

4. Logga in på Snowflake i din webbläsare. Din organisations vanliga Okta- eller SSO-inloggning kan visas.

5. Granska och godkänn den begärda Snowflake-rollen.

6. Välj vilka verktyg agenten får använda. Låt verktyg som kan skriva och CORTEX_AGENT_RUN vara inställda på att begära godkännande tills du har testat dem.

7. Välj Anslut och bekräfta att anslutningen visas som Ansluten.

Ge agenten kontext

Anslutningen ger agenten åtkomst till Snowflake. Dina instruktioner talar om för den hur ditt företag använder den datan. Beskriv i agentens instruktioner vilka verktyg som ska användas för vilka typer av frågor, hur ditt team definierar nyckeltal och vilka tabeller eller semantiska vyer som ska användas som utgångspunkt. Några verifierade exempelfrågor räcker långt. För en färdig startpunkt, se guiden för Data Scout-verktygslådan.

Dela agenten

Dela agenten med ditt team på samma sätt som du delar vilken skräddarsydd agent som helst. Första gången någon ställer en fråga som kräver Snowflake kommer de att uppmanas att logga in med sitt eget Snowflake-konto. De kommer inte att bli tillfrågade om ett klient-ID eller en klienthemlighet.

Om du vill ställa egna frågor i din egen chatt kan du ansluta Snowflake till din Notion-agent. Du loggar in med ditt eget Snowflake-konto, så agenten får bara åtkomst till det du får se.

1. Gå till Inställningar → Notion AI.

2. Under MCP-servrar väljer du Lägg till MCP-server.

3. Välj Snowflake-servern märkt Workspace Managed. Välj inte Custom MCP server och ange inte serverns webbadress manuellt.

4. Välj Anslut.

5. Logga in på Snowflake i din webbläsare. Din organisations vanliga Okta- eller SSO-inloggning kan visas.

6. Granska och godkänn den begärda Snowflake-rollen.

7. När webbläsaren frågar om du vill öppna Notion väljer du Öppna Notion.

8. Bekräfta att serverstatusen är Ansluten, inte Kräver autentisering.

När du har anslutit visas Snowflake under Alla källor → MCP-servrar i chatten.

1. Ställ en ofarlig fråga med ett känt svar som Snowflake bör användas för att besvara.

2. Bekräfta att agenten använder Snowflake och returnerar ett resultat.

3. Bekräfta att du inte kan komma åt data utanför den roll du har tilldelats.

Om du har konfigurerat en skräddarsydd agent kan du också be en teammedlem med en mer begränsad Snowflake-roll att testa den. Personen ska bara kunna se sina egna data, inte dina. Det är det snabbaste sättet att kontrollera att agenten använder varje persons åtkomst i stället för skaparens.

För en grundligare kontroll, be din Snowflake-administratör att kontrollera din användare, roll, ditt datalager och din frågehistorik. En lyckad inloggning bekräftar din identitet, men inte att alla behörigheter är korrekta.

Ställ en specifik fråga till agenten om din Snowflake-data. Till exempel:

• ”Från Snowflake, hur många registreringar hade vi totalt förra månaden?”

• ”Från Snowflake, vilka var våra tio konton med högst intäkter det här kvartalet?”

Med en skräddarsydd agent kan du oftast hoppa över ”från Snowflake” när instruktionerna tydligt anger när den ska användas. Med din Notion-agent hjälper det att nämna Snowflake för att agenten ska välja rätt källa.

Stora förfrågningar kan ta längre tid eller avbrytas på grund av en tidsgräns. Om det händer, ställ en mer avgränsad fråga eller dela upp förfrågan i mindre frågor.

För det mesta förblir du ansluten utan att behöva göra något. Snowflake använder kortlivade åtkomsttoken, och Notion uppdaterar dem i bakgrunden. Att en åtkomsttoken håller på att löpa ut innebär inte i sig att du kopplas från.

Du behöver logga in igen om:

• Din uppdateringstoken går ut eller en administratör återkallar den

• En administratör ersätter OAuth-integreringen eller klienthemligheten

• Din Snowflake-roll tas bort

• En administratör tar bort arbetsytans konfiguration eller din anslutning

• En nätverkspolicy blockerar token-uppdateringen

Med en skräddarsydd agent är varje persons inloggning separat. Om en person ombeds logga in igen påverkar det inte någon annan, och personen som byggde agenten behöver inte göra någonting.

Om du roterar klienthemligheten: Använd Snowflakes rotation med två hemligheter istället för att ersätta integreringen. Behåll båda hemligheterna giltiga tillräckligt länge för att uppdatera och testa arbetsytans konfiguration innan du drar tillbaka den gamla.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Snowflake MCP-anslutningen finns inte i listan. Din arbetsyteadministratör kanske inte har lagt till den än, eller så kan din arbetsyta begränsa anpassade servrar. Be din administratör om hjälp.

• Du ombeds ange ett klient-ID eller en klienthemlighet. Du valde förmodligen alternativet för anpassad MCP. Gå tillbaka och välj Snowflake-servern märkt Workspace Managed istället.

• Du ombeds logga in igen. Din Snowflake-session kan ha gått ut, eller så kan en administratör ha uppdaterat anslutningen. Logga in på Snowflake igen.

• Du öppnade en skräddarsydd agent och ombads logga in på Snowflake. Det är normalt första gången. Alla som använder en hanterad skräddarsydd agent måste logga in med sina egna Snowflake-uppgifter.

• En teammedlem får andra resultat från samma skräddarsydda agent. Det är normalt. Agenten använder varje persons Snowflake-åtkomst, så personer med olika roller ser olika data.

• Den skräddarsydda agenten fungerar i chatten men inte enligt ett schema. Schemalagda och utlösta körningar har ingen inloggad person, så de kan ännu inte använda Snowflake med individuell inloggning.

• Du loggade in, men anslutningen fungerar inte eller så slutar verktygen fungera. Inloggningen bekräftar vem du är, men din åtkomst beror fortfarande på dina Snowflake-behörigheter. Be din Snowflake-administratör kontrollera att din roll har åtkomst till servern, datalagret, agenten och data.

• Agenten kan inte hitta en tabell. Agenten kan bara nå den data som ditt Snowflake-konto kan nå. Kontrollera dina Snowflake-behörigheter och inkludera tabellnamnet i din fråga.

• En förfrågan överskrider tidsgränsen. Ställ en mer specifik fråga eller dela upp din förfrågan i mindre frågor.

Dessa fel beror vanligtvis på Snowflake-inställningar, inte Notion. Dela dem med din Snowflake-administratör.

• Serverns webbadress ser ut att vara dubblerad, som https://https%3A... Adressen klistrades in med ett extra https:// framför. Fixa det så att webbadressen börjar med bara ett https://.

• Du ser ”This server does not support OAuth authentication.” Säkerhetsintegreringen är inte konfigurerad för OAuth, eller så är serverns webbadress felaktig. Be din Snowflake-administratör kontrollera säkerhetsintegreringen för OAuth och serverns webbadress.

• Du ser invalid_client när du loggar in eller uppdaterar anslutningen. Klient-ID:t eller klienthemligheten är felaktig, eller så har klienthemligheten ändrats. Be din administratör om aktuellt klient-ID och aktuell klienthemlighet.

• Du kan logga in, men anslutningen bryts direkt efteråt. Din roll kanske saknar åtkomst till servern, eller så blockerar en roll eller nätverksregel sessionen. Be din administratör kontrollera dina behörigheter och policyer.

• Du ser ”The role ALL requested has been explicitly blocked.” Anslutningen begärde alla roller samtidigt (session:role:all), vilket är blockerat. Ange i stället en enda roll, till exempel session:role:analyst, med ditt faktiska rollnamn.

• Du ser ett omdirigeringsfel (fel 390307). Omdirigeringsadressen som sparats i Snowflake matchar inte den som Notion använder. Be din administratör ange exakt den omdirigeringsadress som Notion använder i säkerhetsintegreringen.

• Du ser fel 390311 om en ogiltig kodutmaning. Detta är ett PKCE-matchningsfel. Be din administratör att bekräfta att OAUTH_ENFORCE_PKCE är korrekt inställt i säkerhetsintegreringen.

• Du är ansluten, men inga verktyg visas. Din roll kanske saknar USAGE på MCP-servern. Be din administratör att bekräfta behörigheten och kör sedan DESCRIBE MCP SERVER för att kontrollera konfigurationen.

• Du har åtkomst till mer eller mindre data än du väntade dig. Sekundära roller påverkar vilka data du kan se under sessionen. Kontrollera tillsammans med din administratör vilka roller som är aktiva.

• Det fungerade tidigare, men efter att klienthemligheten ändrades fungerar det inte för någon. Den sparade anslutningen innehåller den gamla klienthemligheten. Be din administratör om den nya och anslut igen.

• Det fungerade tidigare, men nu misslyckas det bara för dig. En roll, behörighet eller policy kan ha ändrats, eller så har din session löpt ut. Logga in igen och be sedan din administratör att bekräfta att din åtkomst inte har ändrats.

• Din kontoidentifierare avvisas. Använd formatet organization-account med ett bindestreck, som myorg-myaccount, inte punkter.

• Ett PrivateLink-konto kan inte ansluta. PrivateLink-konton kräver extra nätverkskonfiguration. Fråga din administratör om PrivateLink tillåter Notion-anslutningen.

• Snowflake är inte tillgängligt i schemalagda eller utlösta körningar. Ingen är inloggad under de körningarna, så de kan ännu inte använda individuella inloggningar. Kör din förfrågan i chatten i stället.

• Du ser oauth_security_error efter att ha loggat in via webbläsaren. En nätverkspolicy på kontonivå kan blockera förfrågan. Din administratör kan bekräfta detta genom att köra:

• Inloggningen verkar fungera men du får ett rollfel, även med rätt behörighetsomfång. Din standardroll kan vara blockerad, till exempel ACCOUNTADMIN eller en roll i BLOCKED_ROLES_LIST. Din administratör kan kontrollera och åtgärda det:

Dessa skrivskyddade kommandon hjälper din administratör att bekräfta konfigurationen utan att ändra något. Kör dem i Snowflake.

Använd dessa Snowflake-guider för att slutföra konfigurationen:

• Snowflake-hanterad MCP-server

• Skapa en säkerhetsintegrering för Snowflake OAuth

• Snowflake OAuth för anpassade klienter

• Översikt över Snowflake OAuth

• Snowflake-kontoidentifierare

• Skräddarsydda agenter

• MCP-anslutningar för skräddarsydda agenter

• Anslut MCP-servrar till din Notion-agent

• Bästa praxis för säkerhet vid agentanslutningar