ตั้งค่า Snowflake MCP สำหรับ Notion

เอเจนต์ที่กำหนดเอง และ Notion Agent เชื่อมต่อกับ Snowflake ได้ผ่านเซิร์ฟเวอร์ MCP (Model Context Protocol) ที่ Snowflake ให้บริการ เมื่อตั้งค่าเสร็จแล้ว ก็ถามเอเจนต์เกี่ยวกับข้อมูลในคลังข้อมูล Snowflake และรับคำตอบได้โดยตรงใน Notion

การตั้งค่าจะแบ่งเป็นขั้นตอน และมีผู้รับผิดชอบในแต่ละส่วนดังนี้:

• ผู้ดูแล Snowflake ตั้งค่าบทบาท คลังข้อมูล และเซิร์ฟเวอร์ MCP ที่ Snowflake จัดการ

• เจ้าของหรือผู้ดูแลพื้นที่ทำงาน Notion กำหนดค่าการเชื่อมต่อ Snowflake MCP สำหรับพื้นที่ทำงาน

• สมาชิกในพื้นที่ทำงาน เชื่อมต่อกับ Snowflake MCP ผ่านเอเจนต์ที่กำหนดเองโดยใช้ข้อมูลประจำตัว Snowflake ของตนเอง หรือเชื่อมต่อ Snowflake กับ Notion Agent โดยตรงได้ ทั้ง 2 วิธีใช้ขั้นตอนที่ 1–10 เหมือนกัน แล้วจึงแยกกันในขั้นตอนที่ 11 ตามเอเจนต์ที่ต้องการเชื่อมต่อ

• เครื่องมือที่พร้อมใช้งานอาจแตกต่างกันไปตามภูมิภาคคลาวด์ Snowflake ของคุณ

• เซิร์ฟเวอร์ MCP ที่ Snowflake จัดการไม่พร้อมใช้งานในจีนแผ่นดินใหญ่หรือภูมิภาคคลาวด์สำหรับหน่วยงานรัฐบาล

• พื้นที่ทำงาน Notion ของคุณต้องใช้แพ็คเกจ Business หรือแพ็คเกจ Enterprise

• ใช้ Notion บนเว็บหรือเดสก์ท็อป ฟีเจอร์นี้ไม่พร้อมใช้งานบนมือถือ

• บริษัทของคุณต้องมีบัญชี Snowflake

• หากต้องการสร้าง เอเจนต์ที่กำหนดเอง ต้องมีสิทธิ์สร้างเอเจนต์ในพื้นที่ทำงาน

ก่อนที่ทีมจะเชื่อมต่อ Snowflake กับ Notion ผู้ดูแล Snowflake ต้องตั้งค่าการเข้าถึง ขั้นตอนนี้มีรายละเอียดมากที่สุด แต่ทำเพียงครั้งเดียว โดยต้องประสานงานกับผู้ดูแลพื้นที่ทำงาน Notion: Notion จะให้ URI สำหรับการเปลี่ยนเส้นทาง ส่วน Snowflake จะให้รหัสไคลเอ็นต์ OAuth และรหัสลับไคลเอ็นต์ OAuth

คุณจะตั้งค่าบทบาทและคลังข้อมูล สร้างเซิร์ฟเวอร์ MCP ที่ Snowflake จัดการ ให้สิทธิ์เข้าถึงทรัพยากรที่จำเป็น กำหนดค่าขอบเขต OAuth และการผสานรวมด้านความปลอดภัย และเพิ่มนโยบายเครือข่ายหากองค์กรของคุณกำหนดให้ใช้

กรอกแผ่นงานนี้ร่วมกับผู้ดูแลพื้นที่ทำงาน Notion ก่อนเริ่มต้น เมื่อตั้งค่าเสร็จแล้ว สมาชิกข้ามขั้นตอนนี้และลงชื่อเข้าใช้ด้วยบัญชี Snowflake ของตนเองได้

ชื่อโฮสต์ของบัญชีใช้เครื่องหมายขีดกลาง (-) ไม่ใช่ขีดล่าง (_) ตรวจสอบให้แน่ใจว่าชื่อออบเจกต์แต่ละชื่อใน URL ของเซิร์ฟเวอร์ตรงกับชื่อออบเจกต์ที่เกี่ยวข้องใน Snowflake

หากเป็นไปได้ ให้ใช้บทบาทเฉพาะที่มีสิทธิ์เท่าที่จำเป็นและคลังข้อมูลที่ได้รับอนุมัติแล้วเพียงแห่งเดียว

บทบาทที่จำกัดโดยไม่มีบทบาทรอง (แนะนำ) รูปแบบนี้เข้าใจและตรวจสอบได้ง่ายกว่า ตั้งค่า OAUTH_USE_SECONDARY_ROLES = NONE ระบุ ALLOWED_ROLES_LIST และใช้ขอบเขตสำหรับ Notion เป็น session:role:<mcp_access_role>

บทบาทรองเริ่มต้นของผู้ใช้ (ไม่บังคับ) ใช้รูปแบบนี้เฉพาะเมื่อเซิร์ฟเวอร์ต้องใช้สิทธิ์ที่สืบทอดจาก DEFAULT_SECONDARY_ROLES ของผู้ใช้แต่ละรายใน Snowflake ตั้งค่า OAUTH_USE_SECONDARY_ROLES = IMPLICIT ไม่ต้องระบุ ALLOWED_ROLES_LIST และระบุขอบเขตบทบาทหลักให้ชัดเจน Snowflake ไม่อนุญาตให้ใช้บทบาทรอง IMPLICIT ร่วมกับ ALLOWED_ROLES_LIST จึงไม่ต้องระบุรายการบทบาทที่อนุญาตเมื่อใช้รูปแบบนี้

หากเป็นไปได้ ให้ใช้บทบาทเฉพาะที่มีสิทธิ์เท่าที่จำเป็นสำหรับเซิร์ฟเวอร์ MCP

มอบหมายบทบาทนี้ผ่านกระบวนการจัดการข้อมูลประจำตัวตามปกติ หากใช้ Okta หรือ SCIM จัดการการกำหนดบทบาทใน Snowflake อย่าเพิ่มผู้ใช้นอกกระบวนการนั้นด้วยตนเอง

สร้างหรือเลือกฐานข้อมูลและสคีมาที่ทีมซึ่งจะดูแลการทำงานของเซิร์ฟเวอร์เป็นเจ้าของ

สำหรับคำถามทางธุรกิจที่มีการกำกับดูแล คุณสามารถเปิดให้สมาชิกใช้ Cortex Agent เป็นเครื่องมือได้ โดยรวมมุมมองเชิงความหมาย คิวรีที่ผ่านการตรวจสอบแล้ว Search และการประสานการทำงานไว้ในที่เดียว Cortex Agent เป็นทางเลือก ไม่จำเป็นต้องใช้ หากคุณสร้างขึ้นมา ให้ใช้ข้อกำหนดด้านล่าง หากคุณแทนที่เอเจนต์ที่มีอยู่ ตรวจสอบให้แน่ใจว่าเอเจนต์ตัวใหม่ตรงตามข้อกำหนดที่ได้รับอนุมัติแล้วของคุณ

ประเภทเครื่องมือ MCP ของ Snowflake อื่นๆ ที่รองรับ ได้แก่ CORTEX_ANALYST_MESSAGE, CORTEX_SEARCH_SERVICE_QUERY, GENERIC และ SYSTEM_EXECUTE_SQL

ตั้งชื่อเครื่องมือแต่ละอย่างและเขียนคำอธิบายให้ชัดเจนว่าครอบคลุมข้อมูลอะไร ผลลัพธ์ละเอียดแค่ไหน และควรใช้เมื่อใด เพื่อช่วยให้เอเจนต์เลือกเครื่องมือได้ถูกต้อง

สิทธิ์ USAGE ของเซิร์ฟเวอร์ MCP ช่วยให้บทบาทเชื่อมต่อกับเซิร์ฟเวอร์และดูว่ามีเครื่องมืออะไรบ้างได้ แต่ไม่ได้ให้สิทธิ์เข้าถึงคลังข้อมูล เอเจนต์ มุมมองเชิงความหมาย บริการ Search โพรซีเดอร์ที่จัดเก็บไว้ หรือข้อมูลเบื้องหลัง ต้องให้บทบาทนี้มีสิทธิ์เข้าถึงทรัพยากรแต่ละอย่างที่เครื่องมือของเซิร์ฟเวอร์ต้องใช้

ให้สิทธิ์เข้าถึงเฉพาะทรัพยากรเพิ่มเติมที่แต่ละเครื่องมือต้องใช้ เช่น ให้สิทธิ์ SELECT สำหรับมุมมองเชิงความหมายที่อนุมัติแล้ว, USAGE สำหรับบริการ Cortex Search หรือ USAGE สำหรับฟังก์ชันหรือโพรซีเดอร์ที่ระบุ อย่ามอบบทบาทให้ PUBLIC หรือให้สิทธิ์แบบครอบคลุมกับออบเจกต์ที่มีอยู่หรือจะสร้างขึ้นในอนาคต

ก่อนตั้งค่า OAuth ให้ตรวจสอบเซิร์ฟเวอร์ MCP และสิทธิ์ที่ได้รับ:

กำหนดค่าสคีมา MCP ให้ระบุอย่างชัดเจนว่าสมาชิกควรร้องขอบทบาทใด:

ระบุขอบเขตของบทบาทให้ชัดเจน อย่าใช้ session:role:all เพราะ Snowflake จะตีความค่านี้เป็นบทบาทหลักเริ่มต้นของผู้ใช้ ไม่ใช่สิทธิ์เข้าถึงทุกบทบาท และนโยบายสำหรับบทบาทที่มีสิทธิ์พิเศษอาจบล็อกค่านี้ การระบุบทบาทให้ชัดเจนช่วยให้เห็นว่าขอสิทธิ์เข้าถึงอะไรและตรวจสอบได้ง่ายขึ้น

ก่อนเรียกใช้ SQL นี้ ให้ประสานงานกับผู้ดูแลพื้นที่ทำงาน Notion ของคุณ ขอให้พวกเขาป้อน URL เซิร์ฟเวอร์ Snowflake ในแบบฟอร์มการตั้งค่า MCP ของพื้นที่ทำงาน และเปิดใช้งาน Manually configure authentication และ Use a workspace-shared OAuth client Notion จะสร้าง URI การเปลี่ยนเส้นทาง คัดลอก URI นั้นแล้วส่งให้ผู้ดูแลระบบ Snowflake หลังจาก Snowflake สร้างรหัสไคลเอ็นต์และรหัสลับแล้ว ผู้ดูแลพื้นที่ทำงานจะสามารถตั้งค่าการเชื่อมต่อให้เสร็จสมบูรณ์ได้

ใช้ URI การเปลี่ยนเส้นทางให้ตรงตามที่ Notion ให้มาทุกประการ อย่าเพิ่มเครื่องหมายทับต่อท้ายหรือพารามิเตอร์คิวรี และอย่าเปลี่ยนชื่อโฮสต์

การตั้งค่า IS_AGENTIC = TRUE จะทำเครื่องหมายเซสชันที่สร้างผ่านการรวมระบบนี้ว่าเป็นเซสชันของเอเจนต์ จากนั้นฟังก์ชัน IS_AGENT_ACTIVATED() ของ Snowflake จะส่งคืนค่า TRUE ซึ่งช่วยให้ Snowflake สามารถใช้การตรวจสอบและการกำกับดูแลเฉพาะสำหรับเอเจนต์ได้ หากคุณใช้รูปแบบบทบาทรองที่เป็นทางเลือก ให้ตั้งค่า OAUTH_USE_SECONDARY_ROLES = IMPLICIT และละเว้น ALLOWED_ROLES_LIST ไว้

โทเค็นรีเฟรชที่มีอายุ 7776000 วินาทีจะใช้ได้ 90 วัน ก่อนใช้ค่านี้ ให้ตรวจสอบว่าตรงตามนโยบายการอนุญาตสิทธิ์อีกครั้งและการหมุนเวียนโทเค็นขององค์กร สำหรับการเปลี่ยนแปลงทั่วไป อย่าใช้ CREATE OR REPLACE SECURITY INTEGRATION เพราะการแทนที่การรวมระบบอาจทำให้การเชื่อมต่อที่มีอยู่หยุดชะงัก

หากต้องการตรวจสอบการรวมระบบโดยไม่แสดงรหัสลับ ให้เรียกใช้:

ยืนยันว่าการรวมระบบเปิดใช้งานอยู่ URI การเปลี่ยนเส้นทางตรงกันทุกประการ บทบาทได้รับอนุญาตและไม่ถูกบล็อก โทเค็นรีเฟรชและ PKCE เปิดใช้งานอยู่ และทั้งปลายทางการอนุญาตและปลายทางโทเค็นใช้โฮสต์บัญชีสาธารณะของ Snowflake

ขั้นตอนนี้จำเป็นเฉพาะในกรณีที่องค์กรของคุณกำหนดให้มีนโยบายเครือข่ายเท่านั้น โปรดขอให้ผู้รับผิดชอบด้านความปลอดภัยหรือเครือข่ายของคุณอนุมัติช่วงที่อยู่ IP ขาออกปัจจุบันของ Notion

การรวมระบบ OAuth ต้องอนุญาตเส้นทางของ Notion ทั้งสองเส้นทาง:

1. เส้นทาง API ที่จัดการการเรียกกลับ OAuth และการแลกเปลี่ยนรหัสการอนุญาต

2. เส้นทางรันไทม์ของพื้นที่ทำงานที่ตรวจสอบการเชื่อมต่อ เรียกใช้เครื่องมือ และรีเฟรชโทเค็น

เส้นทางเหล่านี้อาจใช้ที่อยู่ IP ขาออกของ Notion ที่แตกต่างกัน หากคุณอนุญาตเฉพาะที่อยู่ที่ใช้ระหว่างการแลกเปลี่ยนโทเค็นเริ่มต้น การลงชื่อเข้าใช้อาจสำเร็จ แต่การตรวจสอบหรือการรีเฟรชโทเค็นอาจล้มเหลว โปรดใช้ช่วงที่อยู่ IP ขาออกปัจจุบันของ Notion ที่ได้รับการอนุมัติแล้ว ห้ามนำที่อยู่ IP ที่พบเพียงครั้งเดียวจากเบราว์เซอร์หรือบันทึกไปเพิ่มในลิสต์ที่อยู่ที่อนุญาตของระบบใช้งานจริง

แนบนโยบายเครือข่ายนี้เข้ากับการรวม OAuth ไม่ใช่กับผู้ใช้แต่ละราย อย่าเปลี่ยนนโยบายทั้งบัญชีของคุณสำหรับการลงชื่อเข้าใช้เบราว์เซอร์ การเข้าถึง VPN หรือการเข้าถึงเครือข่ายของผู้ใช้ หากนโยบายเครือข่ายบล็อกคำขอโทเค็น Snowflake อาจส่งคืน invalid_client ข้อผิดพลาดนี้ไม่ได้หมายความว่ารหัสไคลเอ็นต์หรือรหัสลับไม่ถูกต้องเสมอไป

เรียกใช้สิ่งนี้ในเวิร์กชีต Snowflake ที่ปลอดภัย ชื่อการรวมคำนึงถึงตัวพิมพ์เล็กและตัวพิมพ์ใหญ่และมักจะเป็นตัวพิมพ์ใหญ่:

แชร์รหัสไคลเอ็นต์และรหัสลับที่ตรงกันกับผู้ดูแลพื้นที่ทำงาน Notion ของคุณผ่านช่องทางที่ปลอดภัยซึ่งได้รับอนุมัติแล้ว Snowflake มีรหัสลับที่ใช้ได้สองชุด คุณจึงสามารถสลับใช้รหัสลับได้โดยไม่ต้องหยุดให้บริการ ห้ามนำรหัสลับชุดใดชุดหนึ่งไปวางในเอกสาร แชท ตั๋วแจ้งปัญหา หรือระบบควบคุมซอร์สโค้ดเด็ดขาด

เมื่อ Snowflake พร้อมแล้ว เจ้าของพื้นที่ทำงานหรือผู้ดูแลจะเพิ่มเซิร์ฟเวอร์ให้พื้นที่ทำงานเพียงครั้งเดียว จากนั้นสมาชิกจะค้นหาเซิร์ฟเวอร์ได้โดยไม่ต้องเห็นรหัสลับของไคลเอ็นต์ OAuth ไม่ว่าจะเชื่อมต่อ Snowflake MCP กับเอเจนต์ที่กำหนดเองหรือ Notion Agent ของตนก็ตาม

1. ไปที่ การตั้งค่า สำหรับพื้นที่ทำงาน

2. เลือก การเชื่อมต่อ → MCP ที่แชร์ในพื้นที่ทำงาน

3. เลือก MCP ใหม่สำหรับพื้นที่ทำงาน

กรอกข้อมูลในช่องเหล่านี้ จากนั้นเลือก เพิ่มเซิร์ฟเวอร์ MCP:

หลังจากบันทึกแล้ว ให้ยืนยันว่าแถวใหม่ปรากฏขึ้นภายใต้ Shared with this workspace และ Workspace OAuth client แสดงสถานะ Configured

ผลของการตั้งค่านี้:

• ช่วยให้สมาชิกค้นหาเซิร์ฟเวอร์ที่ได้รับอนุมัติได้

• เก็บข้อมูลลับของไคลเอ็นต์ OAuth เพียงครั้งเดียวในพื้นที่จัดเก็บการเชื่อมต่อแบบเข้ารหัสของ Notion

• ทำให้มั่นใจว่าสมาชิกลงชื่อเข้าใช้โดยใช้ URL ของเซิร์ฟเวอร์ ไคลเอ็นต์ และขอบเขตที่คุณอนุมัติ

• ไม่สร้างเซสชัน Snowflake ที่แชร์หรือข้ามการควบคุมการเข้าถึงของ Snowflake

• ไม่เชื่อมต่อสมาชิกทุกคนโดยอัตโนมัติ แต่ละคนต้องลงชื่อเข้าใช้แยกต่างหาก

หากลบการตั้งค่านี้ สมาชิกใหม่จะค้นหาเซิร์ฟเวอร์ไม่ได้อีก แต่การเชื่อมต่อเดิมอาจยังปรากฏอยู่ จึงควรเพิกถอนสิทธิ์ใน Snowflake และลบการเชื่อมต่อเดิมควบคู่กันไป

เมื่อผู้ดูแลเตรียมการเชื่อมต่อ Snowflake MCP พร้อมแล้ว ก็ใช้งานได้ 2 วิธี หากตั้งค่าให้ทีม ให้เริ่มที่ 11A หากต้องการถามคำถามของตัวเอง ให้ข้ามไปที่ 11B จะทำทั้ง 2 อย่างก็ได้ เพราะเป็นการเชื่อมต่อแยกกัน

เอเจนต์ที่กำหนดเองช่วยให้ทีมของคุณมีที่เดียวสำหรับสอบถามข้อมูล Snowflake คุณเชื่อมต่อ Snowflake เพียงครั้งเดียว เพิ่มคำสั่งเกี่ยวกับเมตริกและตารางของคุณ แล้วแชร์เอเจนต์กับทีมของคุณ ทุกคนที่ใช้งานจะต้องลงชื่อเข้าใช้ Snowflake ด้วยข้อมูลประจำตัวของตนเอง ดังนั้นแต่ละคนจะได้รับคำตอบตามข้อมูลที่ตนได้รับอนุญาตให้เห็นเท่านั้น

เชื่อมต่อ Snowflake เข้ากับเอเจนต์ที่กำหนดเอง

1. เปิดเอเจนต์ที่กำหนดเอง หรือ สร้างเอเจนต์ใหม่

2. ไปที่ การตั้งค่า → เครื่องมือและการเข้าถึง

3. เลือก เพิ่มการเชื่อมต่อ จากนั้นเลือกเซิร์ฟเวอร์ Snowflake ที่มีป้ายกำกับว่า Workspace Managed อย่าเลือก Custom MCP server หรือป้อน URL ของเซิร์ฟเวอร์ด้วยตนเอง

4. ลงชื่อเข้าใช้ Snowflake ในเบราว์เซอร์ของคุณ ระบบอาจแสดงการลงชื่อเข้าใช้ Okta หรือ SSO ตามปกติขององค์กรของคุณ

5. ตรวจสอบและอนุมัติบทบาท Snowflake ที่ร้องขอ

6. เลือกเครื่องมือที่เอเจนต์สามารถใช้ได้ ตั้งค่าเครื่องมือที่สามารถเขียนข้อมูลได้และ CORTEX_AGENT_RUN ให้ขออนุมัติไว้จนกว่าคุณจะทดสอบเครื่องมือเหล่านั้นแล้ว

7. เลือก เชื่อมต่อ และยืนยันว่าการเชื่อมต่อแสดงเป็น เชื่อมต่อแล้ว

ให้บริบทแก่เอเจนต์

การเชื่อมต่อนี้ช่วยให้เอเจนต์เข้าถึง Snowflake ได้ คำสั่งของคุณจะบอกเอเจนต์ว่าบริษัทของคุณใช้ข้อมูลนั้นอย่างไร ในคำสั่งของเอเจนต์ ให้ระบุว่าควรใช้เครื่องมือใดสำหรับคำถามประเภทใด ทีมของคุณกำหนดเมตริกหลักอย่างไร และควรเริ่มจากตารางหรือมุมมองเชิงความหมาย (semantic view) ใด ตัวอย่างคำถามที่ผ่านการตรวจสอบแล้วเพียงไม่กี่ข้อก็ช่วยได้มาก สำหรับจุดเริ่มต้นที่พร้อมใช้งาน โปรดดูคู่มือชุดเครื่องมือ Data Scout

แชร์เอเจนต์

แชร์เอเจนต์กับทีมเหมือนที่แชร์เอเจนต์ที่กำหนดเองตัวอื่น เมื่อมีคนถามคำถามที่ต้องใช้ Snowflake เป็นครั้งแรก ระบบจะให้ลงชื่อเข้าใช้ด้วยบัญชี Snowflake ของตนเอง โดยไม่ต้องกรอกรหัสไคลเอ็นต์หรือข้อมูลลับของไคลเอ็นต์

หากต้องการถามคำถามในการแชทของตัวเอง ให้เชื่อมต่อ Snowflake กับ Notion Agent เมื่อลงชื่อเข้าใช้ด้วยบัญชี Snowflake ของตัวเอง เอเจนต์จะเข้าถึงได้เฉพาะข้อมูลที่บัญชีนั้นมีสิทธิ์ดู

1. ไปที่ การตั้งค่า → Notion AI

2. ภายใต้ เซิร์ฟเวอร์ MCP ให้เลือก เพิ่มเซิร์ฟเวอร์ MCP

3. เลือกเซิร์ฟเวอร์ Snowflake ที่มีป้ายกำกับว่า Workspace Managed อย่าเลือก Custom MCP server หรือป้อน URL ของเซิร์ฟเวอร์ด้วยตนเอง

4. เลือก เชื่อมต่อ

5. ลงชื่อเข้าใช้ Snowflake ในเบราว์เซอร์ของคุณ ระบบอาจแสดงการลงชื่อเข้าใช้ Okta หรือ SSO ตามปกติขององค์กรของคุณ

6. ตรวจสอบและอนุมัติบทบาท Snowflake ที่ร้องขอ

7. เมื่อเบราว์เซอร์ของคุณถามว่าจะเปิด Notion หรือไม่ ให้เลือก เปิด Notion

8. ยืนยันว่าสถานะเซิร์ฟเวอร์คือ เชื่อมต่อแล้ว ไม่ใช่ ต้องการการยืนยันตัวตน

หลังจากที่คุณเชื่อมต่อแล้ว Snowflake จะปรากฏใน แหล่งข้อมูลทั้งหมด → เซิร์ฟเวอร์ MCP ในแชท

1. ถามคำถามที่ไม่เป็นอันตรายซึ่งทราบคำตอบอยู่แล้วและควรใช้ Snowflake ในการตอบ

2. ยืนยันว่าเอเจนต์ใช้ Snowflake และส่งคืนผลลัพธ์

3. ตรวจสอบว่าเข้าถึงข้อมูลนอกเหนือจากสิทธิ์ของบทบาทที่ได้รับไม่ได้

หากตั้งค่าเอเจนต์ที่กำหนดเอง ให้เพื่อนร่วมทีมที่มีสิทธิ์ใน Snowflake จำกัดกว่าลองใช้ด้วย เพื่อนร่วมทีมควรเห็นเฉพาะข้อมูลที่ตนมีสิทธิ์ดู ไม่ใช่ข้อมูลที่ผู้สร้างเอเจนต์มีสิทธิ์ดู วิธีนี้ช่วยตรวจสอบได้เร็วที่สุดว่าเอเจนต์ใช้สิทธิ์การเข้าถึงของแต่ละคน ไม่ใช่ของผู้สร้างเอเจนต์

หากต้องการตรวจสอบให้ละเอียดขึ้น ให้ผู้ดูแล Snowflake ตรวจสอบผู้ใช้ บทบาท คลังข้อมูล และประวัติการสืบค้น การลงชื่อเข้าใช้สำเร็จยืนยันตัวตนได้ แต่ไม่ได้ยืนยันว่าการให้สิทธิ์ทั้งหมดถูกต้อง

ถามคำถามเฉพาะเจาะจงเกี่ยวกับข้อมูล Snowflake ของคุณกับเอเจนต์ ตัวอย่างเช่น:

• "จากข้อมูลใน Snowflake เดือนที่แล้วมียอดสมัครใช้งานทั้งหมดเท่าไร?"

• "จากข้อมูลใน Snowflake บัญชีใดสร้างรายได้สูงสุด 10 อันดับแรกในไตรมาสนี้?"

หากใช้เอเจนต์ที่กำหนดเอง ก็ไม่จำเป็นต้องระบุว่า "จาก Snowflake" เมื่อคำสั่งบอกชัดแล้วว่าควรใช้ Snowflake เมื่อใด แต่หากใช้ Notion Agent การระบุชื่อ Snowflake จะช่วยให้เอเจนต์เลือกแหล่งข้อมูลได้ถูกต้อง

คำขอขนาดใหญ่อาจใช้เวลานานขึ้นหรือหมดเวลา หากเกิดเหตุการณ์ดังกล่าว ให้ถามคำถามที่แคบลงหรือแบ่งคำขอออกเป็นคำถามย่อยๆ

ส่วนใหญ่การเชื่อมต่อจะยังใช้งานได้โดยไม่ต้องทำอะไร Snowflake ใช้โทเค็นการเข้าถึงที่มีอายุสั้น และ Notion จะต่ออายุให้ในเบื้องหลัง การที่โทเค็นใกล้หมดอายุเพียงอย่างเดียวไม่ทำให้การเชื่อมต่อหลุด

ต้องลงชื่อเข้าใช้อีกครั้งหาก:

• รีเฟรชโทเค็นหมดอายุหรือผู้ดูแลเพิกถอนโทเค็น

• ผู้ดูแลเปลี่ยนการผสานรวม OAuth หรือรหัสลับของไคลเอ็นต์

• บทบาท Snowflake ของคุณถูกลบออก

• ผู้ดูแลนำการตั้งค่าพื้นที่ทำงานหรือการเชื่อมต่อของคุณออก

• นโยบายเครือข่ายบล็อกการรีเฟรชโทเค็น

เมื่อใช้เอเจนต์ที่กำหนดเอง แต่ละคนจะลงชื่อเข้าใช้แยกกัน หากคนหนึ่งต้องลงชื่อเข้าใช้อีกครั้ง คนอื่นจะไม่ได้รับผลกระทบ และผู้สร้างเอเจนต์ก็ไม่ต้องทำอะไร

หากกำลังเปลี่ยนรหัสลับของไคลเอ็นต์: ใช้วิธีหมุนเวียนรหัสลับสองชุดของ Snowflake แทนการเปลี่ยนการผสานรวม ให้รหัสลับทั้งสองชุดใช้งานได้จนกว่าจะอัปเดตและทดสอบการตั้งค่าพื้นที่ทำงานเสร็จ แล้วจึงเลิกใช้รหัสเดิม

ALTER SECURITY INTEGRATION <oauth_integration_name>
REFRESH OAUTH_CLIENT_SECRET_2;

• ไม่พบการเชื่อมต่อ Snowflake MCP ในรายการ ผู้ดูแลพื้นที่ทำงานอาจยังไม่ได้เพิ่มการเชื่อมต่อ หรือพื้นที่ทำงานอาจจำกัดการใช้เซิร์ฟเวอร์ที่กำหนดเอง ลองขอความช่วยเหลือจากผู้ดูแล

• ระบบขอรหัสไคลเอ็นต์หรือรหัสลับ อาจเลือกตัวเลือก MCP แบบกำหนดเองไว้ ให้กลับไปเลือกเซิร์ฟเวอร์ Snowflake ที่ระบุว่า Workspace Managed แทน

• ระบบขอให้ลงชื่อเข้าใช้อีกครั้ง เซสชัน Snowflake อาจหมดอายุ หรือผู้ดูแลอาจอัปเดตการเชื่อมต่อแล้ว ให้ลงชื่อเข้าใช้ Snowflake อีกครั้ง

• คุณเปิดเอเจนต์ที่กำหนดเอง แล้วระบบขอให้คุณลงชื่อเข้าใช้ Snowflake นั่นเป็นเรื่องปกติสำหรับการใช้งานครั้งแรก ผู้ที่ใช้เอเจนต์ที่กำหนดเองแบบมีการจัดการทุกคนจำเป็นต้องลงชื่อเข้าใช้ด้วยข้อมูลประจำตัว Snowflake ของตนเอง

• เพื่อนร่วมทีมได้รับผลลัพธ์ที่แตกต่างกันจากเอเจนต์ที่กำหนดเองตัวเดียวกัน นั่นเป็นเรื่องปกติ เอเจนต์จะใช้สิทธิ์การเข้าถึง Snowflake ของแต่ละบุคคล ดังนั้นผู้ที่มีบทบาทต่างกันจึงเห็นข้อมูลที่แตกต่างกัน

• เอเจนต์ที่กำหนดเองใช้ได้ในแชท แต่ไม่ทำงานตามกำหนดการ รอบการทำงานตามกำหนดการและรอบการทำงานที่เริ่มจากทริกเกอร์ไม่มีผู้ลงชื่อเข้าใช้ จึงยังใช้ Snowflake ที่กำหนดให้แต่ละคนลงชื่อเข้าใช้แยกกันไม่ได้

• ลงชื่อเข้าใช้แล้ว แต่เชื่อมต่อไม่ได้หรือเครื่องมือทำงานผิดพลาด การลงชื่อเข้าใช้เป็นการยืนยันตัวตน แต่สิทธิ์เข้าถึงยังขึ้นอยู่กับสิทธิ์ที่ได้รับใน Snowflake ให้ผู้ดูแล Snowflake ตรวจสอบว่าบทบาทของตนเข้าถึงเซิร์ฟเวอร์ คลังข้อมูล เอเจนต์ และข้อมูลได้หรือไม่

• เอเจนต์หาตารางไม่พบ เอเจนต์เข้าถึงได้เฉพาะข้อมูลที่บัญชี Snowflake เข้าถึงได้ ตรวจสอบสิทธิ์ใน Snowflake แล้วระบุชื่อตารางในคำถาม

• คำขอหมดเวลา ลองถามให้เจาะจงขึ้น หรือแบ่งคำขอเป็นคำถามย่อยๆ

ข้อผิดพลาดเหล่านี้มักเกิดจากการตั้งค่า Snowflake ไม่ใช่ Notion ให้ส่งรายละเอียดข้อผิดพลาดให้ผู้ดูแล Snowflake

• URL ของเซิร์ฟเวอร์ดูเหมือนซ้ำกัน เช่น https://https%3A... ที่อยู่ถูกวางโดยมี https:// เกินมาด้านหน้า โปรดแก้ไขเพื่อให้ URL ขึ้นต้นด้วย https:// เพียงชุดเดียว

• เห็นข้อความ "This server does not support OAuth authentication." อาจยังไม่ได้ตั้งค่าการผสานรวมด้านความปลอดภัยสำหรับ OAuth หรือ URL ของเซิร์ฟเวอร์ไม่ถูกต้อง ให้ผู้ดูแล Snowflake ตรวจสอบการผสานรวมด้านความปลอดภัยสำหรับ OAuth และ URL ของเซิร์ฟเวอร์

• เห็น invalid_client ขณะลงชื่อเข้าใช้หรือรีเฟรช รหัสไคลเอ็นต์หรือรหัสลับอาจไม่ถูกต้อง หรือรหัสลับถูกเปลี่ยน ให้ขอรหัสไคลเอ็นต์และรหัสลับล่าสุดจากผู้ดูแล

• ลงชื่อเข้าใช้ได้ แต่ใช้งานไม่ได้ทันทีหลังจากนั้น บทบาทอาจไม่มีสิทธิ์เข้าถึงเซิร์ฟเวอร์ หรือบทบาทหรือกฎเครือข่ายอาจบล็อกเซสชัน ให้ผู้ดูแลตรวจสอบสิทธิ์และนโยบายที่เกี่ยวข้อง

• คุณเห็น "The role ALL requested has been explicitly blocked." การเชื่อมต่อร้องขอทุกบทบาทพร้อมกัน (session:role:all) ซึ่งถูกบล็อกไว้ ให้ระบุบทบาทเพียงบทบาทเดียวแทน เช่น session:role:analyst โดยใช้ชื่อบทบาทจริงของคุณ

• เห็นข้อผิดพลาดในการเปลี่ยนเส้นทาง (ข้อผิดพลาด 390307) URL สำหรับเปลี่ยนเส้นทางที่บันทึกไว้ใน Snowflake ไม่ตรงกับ URL ที่ Notion ใช้ ให้ผู้ดูแลตั้งค่า URL สำหรับเปลี่ยนเส้นทางในการผสานรวมด้านความปลอดภัยให้ตรงกับค่าที่ Notion ใช้ทุกประการ

• เห็นข้อผิดพลาด 390311 เกี่ยวกับ code challenge ที่ไม่ถูกต้อง แสดงว่าการตั้งค่า PKCE ไม่ตรงกัน ให้ผู้ดูแลตรวจสอบว่า OAUTH_ENFORCE_PKCE ในการผสานรวมด้านความปลอดภัยตั้งค่าไว้ถูกต้อง

• เชื่อมต่อแล้ว แต่ไม่มีเครื่องมือปรากฏ บทบาทอาจไม่มีสิทธิ์ USAGE สำหรับเซิร์ฟเวอร์ MCP ให้ผู้ดูแลตรวจสอบสิทธิ์ แล้วเรียกใช้ DESCRIBE MCP SERVER เพื่อตรวจสอบการตั้งค่า

• เข้าถึงข้อมูลได้มากหรือน้อยกว่าที่คาดไว้ บทบาทรองมีผลต่อข้อมูลที่เซสชันมองเห็น ตรวจสอบกับผู้ดูแลว่ามีบทบาทใดเปิดใช้งานอยู่ในเซสชันบ้าง

• ก่อนหน้านี้ใช้งานได้ แต่หลังจากเปลี่ยนรหัสลับ ทุกคนกลับใช้งานไม่ได้ รหัสลับของไคลเอ็นต์ถูกเปลี่ยน ทำให้การเชื่อมต่อที่บันทึกไว้ใช้ข้อมูลเก่า ขอรหัสลับใหม่จากผู้ดูแล แล้วเชื่อมต่ออีกครั้ง

• ก่อนหน้านี้ใช้งานได้ แต่ตอนนี้มีเพียงคนเดียวที่ใช้งานไม่ได้ บทบาท สิทธิ์ หรือนโยบายอาจเปลี่ยนไป หรือเซสชันอาจหมดอายุ ให้ลงชื่อเข้าใช้อีกครั้ง แล้วขอให้ผู้ดูแลตรวจสอบว่าสิทธิ์เข้าถึงเปลี่ยนไปหรือไม่

• ตัวระบุบัญชีของคุณถูกปฏิเสธ โปรดใช้รูปแบบ organization-account ที่มีเครื่องหมายยัติภังค์ เช่น myorg-myaccount ไม่ใช่จุด

• บัญชี PrivateLink เชื่อมต่อไม่ได้ บัญชี PrivateLink ต้องตั้งค่าเครือข่ายเพิ่มเติม ถามผู้ดูแลว่า PrivateLink อนุญาตให้เชื่อมต่อกับ Notion หรือไม่

• Snowflake ไม่พร้อมใช้งานในรอบการทำงานตามกำหนดการหรือรอบการทำงานที่เริ่มโดยทริกเกอร์ รอบการทำงานเหล่านั้นไม่มีผู้ที่ลงชื่อเข้าใช้ จึงยังไม่สามารถใช้การลงชื่อเข้าใช้แบบรายบุคคลได้ โปรดส่งคำขอของคุณในแชทแทน

• คุณเห็น oauth_security_error หลังจากลงชื่อเข้าใช้ผ่านเบราว์เซอร์ นโยบายเครือข่ายระดับบัญชีอาจกำลังบล็อกคำขอนี้อยู่ ผู้ดูแลของคุณสามารถตรวจสอบยืนยันได้ด้วยการเรียกใช้คำสั่งต่อไปนี้:

• การลงชื่อเข้าใช้ดูเหมือนจะทำงานได้ แต่คุณได้รับข้อผิดพลาดเกี่ยวกับบทบาท แม้จะมีขอบเขตที่ถูกต้องก็ตาม บทบาทเริ่มต้นของคุณอาจถูกบล็อก เช่น ACCOUNTADMIN หรือบทบาทใน BLOCKED_ROLES_LIST ผู้ดูแลของคุณสามารถตรวจสอบและแก้ไขได้ดังนี้:

คำสั่งแบบอ่านอย่างเดียวเหล่านี้ช่วยให้ผู้ดูแลของคุณยืนยันการตั้งค่าได้โดยไม่ต้องเปลี่ยนแปลงสิ่งใด โปรดเรียกใช้คำสั่งเหล่านี้ใน Snowflake

ใช้คู่มือ Snowflake เหล่านี้เพื่อดำเนินการตั้งค่าให้เสร็จสมบูรณ์:

• เซิร์ฟเวอร์ MCP ที่จัดการโดย Snowflake

• สร้างการผสานรวมด้านความปลอดภัยสำหรับ Snowflake OAuth

• Snowflake OAuth สำหรับไคลเอ็นต์แบบกำหนดเอง

• ภาพรวม Snowflake OAuth

• ตัวระบุบัญชี Snowflake

• เอเจนต์ที่กำหนดเอง

• การเชื่อมต่อ MCP สำหรับเอเจนต์ที่กำหนดเอง

• เชื่อมต่อเซิร์ฟเวอร์ MCP เข้ากับ Notion Agent ของคุณ

• แนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยสำหรับการเชื่อมต่อของเอเจนต์