Thiết lập Snowflake MCP cho Notion

Các trợ lý tùy chỉnh và Trợ lý Notion của bạn có thể kết nối với Snowflake thông qua máy chủ MCP (Giao thức ngữ cảnh mô hình) do Snowflake vận hành. Sau khi thiết lập xong, bạn có thể hỏi trợ lý của mình về dữ liệu trong kho Snowflake và nhận câu trả lời trực tiếp trong Notion.

Quá trình thiết lập diễn ra theo từng giai đoạn và mỗi giai đoạn do những người khác nhau phụ trách:

• Một quản trị viên Snowflake thiết lập vai trò, kho dữ liệu và máy chủ MCP do Snowflake quản lý.

• Một chủ sở hữu hoặc quản trị viên không gian làm việc Notion định cấu hình kết nối Snowflake MCP cho không gian làm việc.

• Các thành viên không gian làm việc sau đó có thể kết nối với Snowflake MCP từ các trợ lý tùy chỉnh bằng thông tin đăng nhập Snowflake của riêng họ, hoặc kết nối Snowflake trực tiếp với Trợ lý Notion của mình. Các bước 1–10 trong bài viết này giống nhau cho cả hai cách. Hai cách sẽ khác nhau từ bước 11, tùy theo trợ lý mà bạn muốn kết nối.

• Các công cụ khả dụng có thể khác nhau tùy theo khu vực đám mây Snowflake của bạn.

• Máy chủ MCP do Snowflake quản lý không khả dụng tại Trung Quốc đại lục hoặc các khu vực dành cho cơ quan chính phủ.

• Không gian làm việc Notion của bạn phải sử dụng gói Business hoặc gói Enterprise.

• Sử dụng Notion trên web hoặc ứng dụng máy tính. Tính năng này không khả dụng trên thiết bị di động.

• Công ty của bạn cần có tài khoản Snowflake.

• Để xây dựng trợ lý tùy chỉnh, bạn cần có quyền tạo trợ lý trong không gian làm việc của mình.

Trước khi nhóm của bạn có thể kết nối Snowflake với Notion, quản trị viên Snowflake cần thiết lập quyền truy cập. Đây là bước phức tạp nhất và bạn chỉ cần thực hiện một lần. Hãy phối hợp với quản trị viên không gian làm việc Notion: Notion cung cấp URI chuyển hướng, còn Snowflake cung cấp ID ứng dụng khách OAuth và khóa bí mật của ứng dụng khách OAuth.

Bạn sẽ thiết lập một vai trò và kho dữ liệu, tạo máy chủ MCP do Snowflake quản lý, cấp quyền truy cập vào các tài nguyên cần thiết, định cấu hình phạm vi OAuth và tích hợp bảo mật, đồng thời thêm chính sách mạng nếu tổ chức của bạn yêu cầu.

Hãy cùng quản trị viên không gian làm việc Notion điền vào bảng này trước khi bắt đầu. Sau khi thiết lập xong, các thành viên có thể bỏ qua bước này và đăng nhập bằng tài khoản Snowflake của riêng mình.

Tên máy chủ tài khoản sử dụng dấu gạch nối, không phải dấu gạch dưới. Đảm bảo mỗi tên đối tượng trong URL máy chủ khớp với tên đối tượng tương ứng trong Snowflake.

Sử dụng vai trò chuyên dụng, có đặc quyền tối thiểu và một kho dữ liệu được phê duyệt bất cứ khi nào có thể.

Vai trò bị hạn chế không có vai trò phụ (được khuyến nghị). Mô hình này dễ hiểu và dễ kiểm tra hơn. Đặt OAUTH_USE_SECONDARY_ROLES = NONE, chỉ định ALLOWED_ROLES_LIST và sử dụng phạm vi Notion session:role:<mcp_access_role>.

Các vai trò phụ mặc định của người dùng (tùy chọn). Chỉ sử dụng mô hình này khi máy chủ cần các đặc quyền được kế thừa từ DEFAULT_SECONDARY_ROLES Snowflake của mỗi người dùng. Đặt OAUTH_USE_SECONDARY_ROLES = IMPLICIT, bỏ qua ALLOWED_ROLES_LIST và sử dụng phạm vi vai trò chính rõ ràng. Snowflake không cho phép các vai trò phụ IMPLICIT với ALLOWED_ROLES_LIST, vì vậy hãy bỏ qua danh sách cho phép khi bạn sử dụng mô hình này.

Sử dụng vai trò chuyên dụng, có đặc quyền tối thiểu cho máy chủ MCP bất cứ khi nào có thể.

Cấp vai trò này theo quy trình quản lý danh tính thông thường của bạn. Nếu Okta hoặc SCIM quản lý việc phân vai trò Snowflake cho người dùng, đừng tự thêm người dùng ngoài quy trình đó.

Tạo hoặc chọn một cơ sở dữ liệu và lược đồ thuộc sở hữu của nhóm sẽ vận hành máy chủ.

Đối với các câu hỏi về hoạt động kinh doanh cần được kiểm soát, bạn có thể cung cấp Cortex Agent làm công cụ cho các thành viên sử dụng. Công cụ này tập hợp các chế độ xem ngữ nghĩa, truy vấn đã xác minh, Tìm kiếm và khả năng điều phối vào một nơi. Bạn không bắt buộc phải dùng Cortex Agent. Nếu tạo Cortex Agent, hãy làm theo thông số kỹ thuật bên dưới. Nếu thay thế một Cortex Agent hiện có, hãy đảm bảo Cortex Agent mới đáp ứng thông số kỹ thuật đã được phê duyệt.

Các loại công cụ MCP Snowflake được hỗ trợ khác bao gồm CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC và SYSTEM_EXECUTE_SQL.

Đặt cho mỗi công cụ một tên và mô tả rõ ràng. Giải thích dữ liệu mà nó bao gồm, mức độ chi tiết của kết quả và thời điểm sử dụng nó. Điều này giúp trợ lý chọn đúng công cụ.

Đặc quyền USAGE trên máy chủ MCP cho phép một vai trò kết nối với máy chủ và tìm thấy các công cụ của máy chủ. Đặc quyền này không cấp cho vai trò quyền truy cập vào kho dữ liệu, trợ lý, chế độ xem ngữ nghĩa, dịch vụ Tìm kiếm, thủ tục lưu trữ hoặc dữ liệu nguồn. Hãy cấp cho vai trò quyền truy cập vào từng tài nguyên mà các công cụ của máy chủ cần.

Chỉ cấp quyền truy cập vào các tài nguyên bổ sung mà mỗi công cụ cần. Ví dụ: cấp SELECT trên chế độ xem ngữ nghĩa đã được phê duyệt, USAGE trên dịch vụ Cortex Search, hoặc USAGE trên một hàm hoặc thủ tục cụ thể. Không cấp vai trò cho PUBLIC hoặc cấp quyền quá rộng đối với các đối tượng hiện tại hoặc trong tương lai.

Trước khi thiết lập OAuth, hãy kiểm tra máy chủ MCP và các quyền của nó:

Định cấu hình lược đồ MCP để công bố chính xác vai trò mà các thành viên nên yêu cầu:

Sử dụng phạm vi vai trò rõ ràng. Không sử dụng session:role:all. Snowflake coi giá trị đó là vai trò chính mặc định của người dùng, không phải là quyền truy cập vào mọi vai trò, và các chính sách cho các vai trò đặc quyền có thể chặn nó. Một vai trò rõ ràng giúp quyền truy cập được yêu cầu trở nên minh bạch và dễ kiểm tra hơn.

Trước khi chạy SQL này, hãy phối hợp với quản trị viên không gian làm việc Notion của bạn. Nhờ họ nhập URL máy chủ Snowflake vào biểu mẫu thiết lập MCP của không gian làm việc, rồi bật Cấu hình xác thực thủ công và Sử dụng ứng dụng khách OAuth được chia sẻ trong không gian làm việc. Notion sẽ tạo URI chuyển hướng. Hãy sao chép URI đó và gửi cho quản trị viên Snowflake. Sau khi Snowflake tạo ID và mã bí mật của ứng dụng khách, quản trị viên không gian làm việc có thể hoàn tất thiết lập kết nối.

Sử dụng URI chuyển hướng chính xác như Notion cung cấp. Không thêm dấu gạch chéo ở cuối hoặc tham số truy vấn, và không thay đổi tên máy chủ.

Đặt IS_AGENTIC = TRUE để đánh dấu các phiên được tạo qua tích hợp này là phiên trợ lý. Khi đó, hàm IS_AGENT_ACTIVATED() của Snowflake trả về TRUE, cho phép Snowflake áp dụng các quy tắc kiểm toán và quản trị dành riêng cho trợ lý. Nếu dùng mô hình vai trò phụ tùy chọn, hãy đặt OAUTH_USE_SECONDARY_ROLES = IMPLICIT và bỏ qua ALLOWED_ROLES_LIST.

Giá trị hiệu lực của mã thông báo làm mới 7776000 giây tương đương với 90 ngày. Trước khi sử dụng, hãy xác nhận rằng giá trị này khớp với các chính sách ủy quyền lại và xoay vòng mã thông báo của tổ chức bạn. Đối với các thay đổi định kỳ, hãy tránh dùng CREATE OR REPLACE SECURITY INTEGRATION. Việc thay thế tích hợp có thể làm gián đoạn các kết nối hiện có.

Để kiểm tra tích hợp mà không hiển thị mã bí mật, hãy chạy:

Xác nhận rằng tích hợp đã được bật, URI chuyển hướng khớp chính xác, vai trò được cho phép và không bị chặn, mã thông báo làm mới và PKCE đã được bật, và cả điểm cuối ủy quyền và điểm cuối mã thông báo đều sử dụng máy chủ tài khoản công khai của Snowflake.

Bước này chỉ cần thiết nếu tổ chức của bạn yêu cầu chính sách mạng. Hãy yêu cầu người phụ trách bảo mật hoặc mạng phê duyệt các dải địa chỉ IP đi ra hiện tại của Notion.

Tích hợp OAuth phải cho phép cả hai đường dẫn Notion:

1. đường dẫn API xử lý các lệnh gọi lại OAuth và trao đổi mã ủy quyền

2. đường dẫn thời gian chạy không gian làm việc xác thực kết nối, chạy công cụ và làm mới mã thông báo

Các đường dẫn này có thể sử dụng những địa chỉ IP đi ra khác nhau của Notion. Nếu bạn chỉ cho phép địa chỉ dùng khi trao đổi mã thông báo lần đầu, việc đăng nhập có thể thành công nhưng bước kiểm tra kết nối hoặc làm mới mã thông báo có thể thất bại. Hãy dùng các dải địa chỉ IP đi ra hiện tại đã được phê duyệt của Notion. Đừng thêm địa chỉ IP ghi nhận từ một lần truy cập qua trình duyệt hoặc trong nhật ký vào danh sách cho phép của môi trường sản xuất.

Đính kèm chính sách mạng này vào tích hợp OAuth, không phải vào từng người dùng riêng lẻ. Đừng thay đổi các chính sách trên toàn tài khoản của bạn đối với việc đăng nhập qua trình duyệt, truy cập VPN hoặc truy cập mạng của người dùng. Nếu một chính sách mạng chặn yêu cầu mã thông báo, Snowflake có thể trả về invalid_client. Lỗi này không nhất thiết có nghĩa là ID ứng dụng khách hoặc mã bí mật không chính xác.

Chạy lệnh này trong một trang tính Snowflake an toàn. Tên tích hợp có phân biệt chữ hoa chữ thường và thường ở dạng chữ in hoa:

Chia sẻ ID ứng dụng khách và mã bí mật tương ứng với quản trị viên không gian làm việc Notion của bạn qua một kênh bảo mật đã được phê duyệt. Snowflake cung cấp hai mã bí mật hợp lệ để bạn có thể luân phiên thay thế chúng mà không gây gián đoạn dịch vụ. Không bao giờ dán bất kỳ mã bí mật nào vào tài liệu, cuộc trò chuyện, phiếu hỗ trợ hoặc hệ thống quản lý mã nguồn.

Khi Snowflake đã sẵn sàng, chủ sở hữu hoặc quản trị viên chỉ cần thêm máy chủ một lần cho không gian làm việc. Sau đó, các thành viên có thể tìm thấy máy chủ mà không thấy mã bí mật của ứng dụng khách OAuth, dù họ kết nối MCP Snowflake với trợ lý tùy chỉnh hay Trợ lý Notion của riêng mình.

1. Đi tới Cài đặt cho không gian làm việc.

2. Chọn Kết nối → MCP được chia sẻ trong không gian làm việc.

3. Chọn MCP mới cho không gian làm việc.

Điền vào các trường này, sau đó chọn Thêm máy chủ MCP:

Sau khi lưu, hãy xác nhận rằng hàng mới xuất hiện trong Được chia sẻ với không gian làm việc này và Ứng dụng khách OAuth của không gian làm việc hiển thị Đã định cấu hình.

Thiết lập này có tác dụng gì:

• Giúp các thành viên tìm thấy máy chủ đã được phê duyệt.

• Lưu mã bí mật của ứng dụng khách OAuth một lần trong bộ lưu trữ kết nối được mã hóa của Notion.

• Đảm bảo các thành viên đăng nhập bằng URL máy chủ, ứng dụng khách và phạm vi mà bạn đã phê duyệt.

• Không tạo phiên Snowflake được chia sẻ hoặc bỏ qua các kiểm soát truy cập của Snowflake.

• Không tự động kết nối mọi thành viên. Mỗi người phải đăng nhập riêng.

Nếu bạn xóa thiết lập này, các thành viên mới sẽ không thể tìm thấy máy chủ nữa. Các kết nối hiện có vẫn có thể xuất hiện, vì vậy hãy phối hợp thay đổi này với việc thu hồi các quyền của Snowflake và xóa các kết nối hiện có.

Khi quản trị viên của bạn đã chuẩn bị xong kết nối Snowflake MCP, có hai cách để sử dụng kết nối đó. Nếu bạn đang thiết lập việc này cho một nhóm, hãy bắt đầu với 11A. Nếu bạn chỉ muốn tự đặt câu hỏi, hãy chuyển đến 11B. Bạn có thể thực hiện cả hai; đó là hai kết nối riêng biệt.

Trợ lý tùy chỉnh cung cấp cho nhóm của bạn một nơi để hỏi về dữ liệu Snowflake. Bạn kết nối Snowflake một lần, thêm hướng dẫn về các chỉ số và bảng biểu của mình, rồi chia sẻ trợ lý đó với nhóm. Mọi người sử dụng trợ lý này sẽ được yêu cầu đăng nhập vào Snowflake bằng thông tin đăng nhập của riêng họ, vì vậy mỗi người chỉ nhận được câu trả lời dựa trên dữ liệu mà họ được phép xem.

Kết nối Snowflake với trợ lý tùy chỉnh

1. Mở trợ lý tùy chỉnh của bạn, hoặc tạo một trợ lý mới.

2. Đi tới Cài đặt → Công cụ & Truy cập.

3. Chọn Thêm kết nối, sau đó chọn máy chủ Snowflake được gắn nhãn Workspace Managed. Đừng chọn Máy chủ MCP tùy chỉnh hoặc nhập thủ công URL máy chủ.

4. Đăng nhập vào Snowflake trong trình duyệt của bạn. Màn hình đăng nhập Okta hoặc SSO thường dùng của tổ chức bạn có thể xuất hiện.

5. Xem xét và phê duyệt vai trò Snowflake được yêu cầu.

6. Chọn các công cụ mà trợ lý có thể sử dụng. Giữ các công cụ có khả năng ghi và CORTEX_AGENT_RUN ở chế độ yêu cầu phê duyệt cho đến khi bạn kiểm thử chúng.

7. Chọn Kết nối và xác nhận kết nối hiển thị là Đã kết nối.

Cung cấp ngữ cảnh cho trợ lý

Kết nối này cho phép trợ lý truy cập Snowflake. Hướng dẫn của bạn cho trợ lý biết công ty bạn sử dụng dữ liệu đó như thế nào. Trong phần hướng dẫn cho trợ lý, hãy mô tả công cụ nào cần dùng cho từng loại câu hỏi, cách nhóm của bạn định nghĩa các chỉ số chính và nên bắt đầu từ những bảng hoặc khung nhìn ngữ nghĩa nào. Một vài câu hỏi mẫu đã được xác minh sẽ rất hữu ích. Để có điểm khởi đầu sẵn có, hãy xem hướng dẫn về bộ công cụ Data Scout.

Chia sẻ trợ lý

Chia sẻ trợ lý với nhóm của bạn giống như khi chia sẻ bất kỳ trợ lý tùy chỉnh nào khác. Khi ai đó lần đầu đặt câu hỏi cần truy cập Snowflake, họ sẽ được nhắc đăng nhập bằng tài khoản Snowflake của chính mình. Họ sẽ không phải cung cấp ID ứng dụng khách hoặc mã bí mật của ứng dụng khách.

Nếu bạn muốn đặt câu hỏi trong cuộc trò chuyện riêng của mình, hãy kết nối Snowflake với Trợ lý Notion của bạn. Bạn đăng nhập bằng tài khoản Snowflake của chính mình, nên trợ lý chỉ có thể truy cập những gì bạn được phép xem.

1. Đi tới Cài đặt → Notion AI.

2. Trong mục Máy chủ MCP, chọn Thêm máy chủ MCP.

3. Chọn máy chủ Snowflake có nhãn Workspace Managed. Đừng chọn Máy chủ MCP tùy chỉnh hoặc nhập URL máy chủ theo cách thủ công.

4. Chọn Kết nối.

5. Đăng nhập vào Snowflake trong trình duyệt. Bạn có thể thấy quy trình đăng nhập Okta hoặc SSO thường dùng của tổ chức mình.

6. Xem xét và phê duyệt vai trò Snowflake được yêu cầu.

7. Khi trình duyệt của bạn hỏi có muốn mở Notion hay không, hãy chọn Mở Notion.

8. Xác nhận rằng trạng thái máy chủ là Đã kết nối, không phải Cần xác thực.

Sau khi kết nối, Snowflake sẽ xuất hiện tại Tất cả nguồn → Máy chủ MCP trong phần trò chuyện.

1. Hãy đặt một câu hỏi an toàn, có đáp án bạn đã biết và cần dùng Snowflake để trả lời.

2. Xác nhận rằng trợ lý sử dụng Snowflake và trả về kết quả.

3. Xác nhận rằng bạn không thể truy cập dữ liệu ngoài phạm vi quyền của vai trò Snowflake được cấp.

Nếu bạn thiết lập một trợ lý tùy chỉnh, hãy nhờ một thành viên nhóm có vai trò Snowflake với quyền truy cập hạn chế hơn dùng thử. Người đó chỉ nên thấy dữ liệu của mình, không phải dữ liệu của bạn. Đây là cách nhanh nhất để xác nhận trợ lý đang sử dụng quyền truy cập của từng người chứ không phải của người tạo trợ lý.

Để kiểm tra kỹ hơn, hãy yêu cầu quản trị viên Snowflake của bạn xác nhận người dùng, vai trò, kho dữ liệu và lịch sử truy vấn của bạn. Việc đăng nhập thành công xác nhận danh tính của bạn, nhưng nó không xác nhận rằng mọi quyền đều chính xác.

Hãy hỏi trợ lý một câu hỏi cụ thể về dữ liệu Snowflake của bạn. Ví dụ:

• "Từ Snowflake, tổng số lượt đăng ký của chúng ta tháng trước là bao nhiêu?"

• "Từ Snowflake, 10 tài khoản có doanh thu cao nhất của chúng ta trong quý này là những tài khoản nào?"

Với trợ lý tùy chỉnh, bạn thường có thể bỏ cụm từ "từ Snowflake" khi phần hướng dẫn đã nêu rõ lúc nào cần dùng Snowflake. Với Trợ lý Notion, việc nêu tên Snowflake sẽ giúp trợ lý chọn đúng nguồn.

Các yêu cầu lớn có thể mất nhiều thời gian hơn hoặc bị hết thời gian chờ. Nếu điều đó xảy ra, hãy hỏi một câu hỏi hẹp hơn hoặc chia yêu cầu thành các câu hỏi nhỏ hơn.

Hầu hết thời gian, bạn vẫn duy trì kết nối mà không cần làm gì cả. Snowflake sử dụng các mã thông báo truy cập có thời hạn ngắn và Notion sẽ làm mới chúng trong nền. Chỉ riêng việc mã thông báo truy cập sắp hết hạn sẽ không khiến bạn bị ngắt kết nối.

Bạn sẽ cần đăng nhập lại nếu:

• Mã thông báo làm mới của bạn hết hạn hoặc quản trị viên thu hồi nó

• Quản trị viên thay thế tích hợp OAuth hoặc mã bí mật của ứng dụng khách

• Vai trò Snowflake của bạn bị xóa

• Quản trị viên xóa thiết lập không gian làm việc hoặc kết nối của bạn

• Chính sách mạng chặn việc làm mới mã thông báo

Với trợ lý tùy chỉnh, việc đăng nhập của mỗi người là riêng biệt. Nếu một người được yêu cầu đăng nhập lại, điều đó không ảnh hưởng đến bất kỳ ai khác và người đã tạo trợ lý không cần làm gì cả.

Nếu bạn đang xoay vòng mã bí mật của ứng dụng khách: Hãy dùng cơ chế xoay vòng hai mã bí mật của Snowflake thay vì thay thế tích hợp. Duy trì hiệu lực của cả hai mã bí mật đủ lâu để cập nhật và kiểm tra thiết lập không gian làm việc trước khi ngừng sử dụng mã cũ.

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• Kết nối Snowflake MCP không được liệt kê. Quản trị viên không gian làm việc của bạn có thể chưa thêm nó hoặc không gian làm việc của bạn có thể giới hạn các máy chủ tùy chỉnh. Hãy nhờ quản trị viên của bạn trợ giúp.

• Bạn được yêu cầu cung cấp ID ứng dụng khách hoặc mã bí mật. Có lẽ bạn đã chọn tùy chọn MCP tùy chỉnh. Hãy quay lại và chọn máy chủ Snowflake được đánh dấu Workspace Managed.

• Bạn được yêu cầu đăng nhập lại. Phiên Snowflake của bạn có thể đã hết hạn hoặc quản trị viên có thể đã cập nhật kết nối. Hãy đăng nhập lại vào Snowflake.

• Bạn đã mở một trợ lý tùy chỉnh và được yêu cầu đăng nhập vào Snowflake. Điều đó là bình thường trong lần đầu tiên. Mỗi người sử dụng trợ lý tùy chỉnh được quản lý đều phải đăng nhập bằng thông tin đăng nhập Snowflake của riêng mình.

• Một thành viên nhóm nhận được kết quả khác từ cùng một trợ lý tùy chỉnh. Điều đó là bình thường. Trợ lý sử dụng quyền truy cập Snowflake của từng người, vì vậy những người có vai trò khác nhau sẽ thấy dữ liệu khác nhau.

• Trợ lý tùy chỉnh hoạt động trong trò chuyện nhưng không hoạt động khi chạy theo lịch. Các lượt chạy được lên lịch và được kích hoạt không có người đăng nhập, vì vậy chúng chưa thể sử dụng Snowflake với hình thức đăng nhập riêng cho từng người.

• Bạn đã đăng nhập nhưng không thể kết nối hoặc các công cụ bị lỗi. Việc đăng nhập xác nhận danh tính của bạn, nhưng quyền truy cập vẫn phụ thuộc vào các quyền được cấp trong Snowflake. Hãy yêu cầu quản trị viên Snowflake xác nhận vai trò của bạn có thể truy cập máy chủ, kho dữ liệu, trợ lý và dữ liệu.

• Trợ lý không thể tìm thấy bảng. Trợ lý chỉ có thể truy cập dữ liệu mà tài khoản Snowflake của bạn có quyền truy cập. Hãy kiểm tra quyền truy cập trong Snowflake và nêu tên bảng trong câu hỏi của bạn.

• Yêu cầu bị hết thời gian chờ. Hãy đặt câu hỏi cụ thể hơn hoặc chia yêu cầu của bạn thành các câu hỏi nhỏ hơn.

Những lỗi này thường xuất phát từ cài đặt Snowflake, không phải Notion. Hãy chia sẻ chúng với quản trị viên Snowflake của bạn.

• URL máy chủ trông bị lặp lại, như https://https%3A... Địa chỉ đã được dán với một https:// thừa ở phía trước. Hãy sửa lại để URL chỉ bắt đầu bằng một https://.

• Bạn thấy "This server does not support OAuth authentication." (Máy chủ này không hỗ trợ xác thực OAuth.) Tích hợp bảo mật chưa được thiết lập cho OAuth hoặc URL máy chủ bị sai. Hãy yêu cầu quản trị viên Snowflake kiểm tra tích hợp bảo mật OAuth và URL máy chủ.

• Bạn thấy invalid_client khi đăng nhập hoặc làm mới. ID ứng dụng khách hoặc khóa bí mật của ứng dụng khách không chính xác, hoặc khóa bí mật đã được thay đổi. Hãy hỏi quản trị viên về ID và khóa bí mật hiện tại của ứng dụng khách.

• Đăng nhập thành công, nhưng sau đó bị lỗi ngay lập tức. Vai trò của bạn có thể không có quyền truy cập máy chủ, hoặc một vai trò hay quy tắc mạng đang chặn phiên làm việc. Hãy yêu cầu quản trị viên kiểm tra các quyền được cấp và chính sách áp dụng cho bạn.

• Bạn thấy "The role ALL requested has been explicitly blocked." (Vai trò ALL được yêu cầu đã bị chặn.) Kết nối đã yêu cầu tất cả vai trò cùng lúc (session:role:all), nhưng yêu cầu này bị chặn. Thay vào đó, hãy chỉ định một vai trò, chẳng hạn như session:role:analyst, và thay analyst bằng tên vai trò thực tế của bạn.

• Bạn thấy lỗi chuyển hướng (lỗi 390307). URL chuyển hướng được lưu trong Snowflake không khớp với URL mà Notion sử dụng. Hãy yêu cầu quản trị viên đặt URL chuyển hướng trong tích hợp bảo mật đúng bằng URL mà Notion sử dụng.

• Bạn thấy lỗi 390311 về mã thử thách không hợp lệ. Đây là lỗi không khớp PKCE. Hãy yêu cầu quản trị viên xác nhận OAUTH_ENFORCE_PKCE được cấu hình đúng trong tích hợp bảo mật.

• Bạn đã kết nối, nhưng không có công cụ nào hiển thị. Vai trò của bạn có thể thiếu quyền USAGE trên máy chủ MCP. Hãy yêu cầu quản trị viên xác nhận quyền, sau đó chạy DESCRIBE MCP SERVER để kiểm tra thiết lập.

• Bạn có thể truy cập nhiều hoặc ít dữ liệu hơn dự kiến. Các vai trò phụ ảnh hưởng đến dữ liệu mà phiên làm việc của bạn có thể thấy. Hãy cùng quản trị viên kiểm tra những vai trò nào đang hoạt động trong phiên làm việc của bạn.

• Trước đây kết nối vẫn hoạt động, nhưng sau khi thay đổi khóa bí mật thì mọi người đều gặp lỗi. Khóa bí mật của ứng dụng khách đã được thay mới nên kết nối đã lưu không còn hợp lệ. Hãy hỏi quản trị viên về khóa bí mật mới, sau đó kết nối lại.

• Trước đây nó hoạt động, nhưng bây giờ chỉ mình bạn gặp lỗi. Một vai trò, quyền hoặc chính sách có thể đã thay đổi, hoặc phiên làm việc của bạn đã hết hạn. Hãy đăng nhập lại, sau đó yêu cầu quản trị viên xác nhận quyền truy cập của bạn không thay đổi.

• Định danh tài khoản của bạn bị từ chối. Sử dụng định dạng organization-account với dấu gạch nối, như myorg-myaccount, không sử dụng dấu chấm.

• Tài khoản PrivateLink không thể kết nối. Các tài khoản PrivateLink cần thiết lập mạng bổ sung. Hãy hỏi quản trị viên của bạn xem PrivateLink có cho phép kết nối Notion hay không.

• Snowflake không khả dụng trong các lượt chạy theo lịch hoặc được kích hoạt. Những lượt chạy này không có người đăng nhập nên chưa thể dùng hình thức đăng nhập riêng cho từng người. Thay vào đó, hãy chạy yêu cầu trong phần trò chuyện.

• Bạn thấy oauth_security_error sau khi đăng nhập qua trình duyệt. Một chính sách mạng cấp tài khoản có thể đang chặn yêu cầu. Quản trị viên của bạn có thể xác nhận bằng cách chạy:

• Đăng nhập có vẻ hoạt động nhưng bạn gặp lỗi vai trò, ngay cả với phạm vi quyền đúng. Vai trò mặc định của bạn có thể bị chặn, ví dụ như ACCOUNTADMIN hoặc một vai trò trong BLOCKED_ROLES_LIST. Quản trị viên của bạn có thể kiểm tra và khắc phục lỗi này:

Các lệnh chỉ đọc này giúp quản trị viên của bạn xác nhận thiết lập mà không làm thay đổi bất cứ điều gì. Hãy chạy chúng trong Snowflake.

Sử dụng các hướng dẫn Snowflake này để hoàn tất thiết lập:

• Máy chủ MCP do Snowflake quản lý

• Tạo tích hợp bảo mật OAuth cho Snowflake

• OAuth của Snowflake cho các ứng dụng khách tùy chỉnh

• Tổng quan về OAuth của Snowflake

• Các định danh tài khoản Snowflake

• Trợ lý tùy chỉnh

• Các kết nối MCP cho trợ lý tùy chỉnh

• Kết nối các máy chủ MCP với Trợ lý Notion của bạn

• Các phương pháp bảo mật tốt nhất cho kết nối của Trợ lý