Configurar la plantilla d’aplicació Snowflake a ChatGPT

Fes servir aquesta guia si ets administrador d'un espai de treball de ChatGPT o usuari de ChatGPT Plus o Pro i vols connectar ChatGPT a Snowflake mitjançant un servidor MCP gestionat per Snowflake.

La major part de la configuració es fa a Snowflake. Quan Snowflake estigui a punt, completa la connexió de la plantilla de Snowflake a ChatGPT i, després, activa el connector de Snowflake que fa servir aquesta plantilla.

• OAuth integrat: Si està disponible al teu compte de Snowflake i a ChatGPT, fes servir l'aplicació associada de ChatGPT que hagi activat un administrador de Snowflake. Inicia la sessió a Snowflake amb l'SSO de la teva organització, si està configurat. No cal que introdueixis cap ID de client ni secret de client a ChatGPT. Segueix la secció OAuth integrat que trobaràs més avall.

• Client OAuth personalitzat: Fes servir aquesta opció si la teva organització requereix un client OAuth propi o si l'OAuth integrat no està disponible. Segueix la secció Client OAuth personalitzat que trobaràs més avall.

Totes dues opcions d'OAuth requereixen la configuració comuna del servidor MCP, els permisos sobre els objectes subjacents i l'accés de xarxa que es descriuen a continuació. Abans de configurar l'OAuth, completa la configuració comuna fins a la secció Introdueix les dades del servidor de Snowflake a ChatGPT, inclosa.

Què configuraràs

Crearàs un servidor MCP gestionat per Snowflake que actuarà com a punt final del connector per a ChatGPT. El servidor MCP defineix:

• Quines accions pot fer servir ChatGPT.

• A quines dades o objectes de Snowflake poden accedir aquestes eines.

• Amb quin rol de Snowflake cada usuari concedeix l'autorització.

• Quina base de dades, esquema i nom de servidor MCP de Snowflake identifiquen el punt final.

A continuació, configuraràs Snowflake - Plantilla oficial a ChatGPT amb l'URL complet del servidor MCP gestionat. La pantalla de configuració de la plantilla pot mostrar l'URL en quatre camps separats:

• Prefix d'amfitrió de Snowflake.

• Base de dades.

• Esquema.

• Nom del servidor MCP.

ChatGPT només pot detectar i fer servir les eines que el servidor MCP posa a disposició i que permet el rol de Snowflake amb què l'usuari concedeix l'autorització.

Abans de començar

Necessites:

• Accés com a administrador o propietari d'un espai de treball de ChatGPT, o accés a ChatGPT Plus o Pro.

• Accés a Snowflake que permeti crear objectes de servidor MCP i concedir permisos.

• La base de dades i l'esquema de Snowflake on s'allotjarà el servidor MCP.

• Haver decidit què podrà fer ChatGPT, com ara fer servir Cortex Search, Cortex Analyst, SQL de només lectura o un procediment o una funció específics.

• Un rol de Snowflake amb els privilegis mínims necessaris que els usuaris faran servir per autoritzar l'aplicació.

• El prefix d'amfitrió del compte de Snowflake, inclòs qualsevol sufix de regió o de núvol.

Si el teu compte de Snowflake restringeix l'accés mitjançant una política de xarxa o una llista d'IP permeses, demana a un administrador de Snowflake que permeti les connexions entrants des dels intervals d'IP de sortida dels connectors de ChatGPT vigents. La llista és dinàmica i cal mantenir-la actualitzada.

Valors que cal preparar

• Prefix d'amfitrió de Snowflake: tot el que hi ha abans de .snowflakecomputing.com a l'URL del compte de Snowflake.

• Base de dades: la base de dades que conté el servidor MCP.

• Esquema: l'esquema que conté el servidor MCP.

• Nom del servidor MCP: el nom de l'objecte de servidor MCP de Snowflake.

• URL complet del servidor MCP gestionat, si la pantalla de configuració de ChatGPT demana un URL.

• Rol de Snowflake: el rol que els usuaris han de fer servir per autoritzar l'aplicació.

• Llista d'eines: els objectes i les accions de Snowflake que vols que ChatGPT faci servir.

Decideix què pot fer ChatGPT

Tria només les funcionalitats que vulguis posar a disposició. Algunes opcions habituals són:

• Cerca amb Cortex Search per trobar respostes en dades o continguts indexats de Snowflake.

• Preguntes i respostes amb Cortex Analyst mitjançant una vista semàntica aprovada.

• SQL de només lectura per a un accés controlat a les consultes.

• Un agent de Snowflake, un procediment emmagatzemat o una UDF per a un flux de treball específic.

Si actives l'SQL, mantén-lo en mode de només lectura, tret que la teva organització hagi revisat i aprovat l'accés d'escriptura.

Obre un full de treball de Snowflake

1. Inicia la sessió a l'aplicació de Snowflake.

2. Canvia a un rol que pugui crear el servidor MCP i concedir-hi accés.

3. Ves a Espais de treball.

   

4. Crea un espai de treball amb un fitxer SQL.

   

5. Estableix com a context de l'espai de treball la base de dades i l'esquema on es crearà el servidor MCP.

   

Crea el servidor MCP de Snowflake

A Snowflake, inicia la sessió amb un rol que pugui crear el servidor MCP i concedir-hi accés. Obre un full de treball a la base de dades i l'esquema on s'ha de crear el servidor MCP.

Executa una sentència com la de l'exemple següent. Substitueix els noms pels de la teva base de dades, esquema, serveis, vistes, magatzem i servidor de Snowflake.

CREATE MCP SERVER CHATGPT_SNOWFLAKE_MCP
FROM SPECIFICATION $$
tools:
- name: "support-search"
type: "CORTEX_SEARCH_SERVICE_QUERY"
identifier: "CHATGPT_APPS.TOOLS.SUPPORT_SEARCH_SERVICE"
title: "Support Search"
description: "Search support content for relevant customer issues."
- name: "revenue-analyst"
type: "CORTEX_ANALYST_MESSAGE"
identifier: "CHATGPT_APPS.TOOLS.REVENUE_SEMANTIC_VIEW"
title: "Revenue Analyst"
description: "Answer revenue questions using the approved semantic view."
- name: "sql-readonly"
type: "SYSTEM_EXECUTE_SQL"
title: "Read-only SQL"
description: "Run read-only SQL queries against approved Snowflake data."
config:
read_only: true
query_timeout: 600
warehouse: "CHATGPT_WH"
$$;

Els noms de les eines i els objectes de Snowflake d'aquesta sentència són exemples:

• support-search posa a disposició el servei de Cortex Search especificat.

• revenue-analyst posa a disposició la vista semàntica especificada. Afegeix eines per a altres vistes segons calgui.

• sql-readonly ofereix SQL de només lectura amb el magatzem especificat.

Fes servir noms d'eines estables i descriptius perquè ChatGPT pugui triar l'eina adequada. Crear el servidor MCP no concedeix automàticament accés als objectes subjacents de Snowflake.

Per veure més opcions d'especificació, consulta: Crea un servidor MCP gestionat per Snowflake.

Concedeix els permisos adequats a Snowflake

Tria el rol de Snowflake amb què els usuaris concediran l'autorització i, després, concedeix a aquest rol accés a:

1. La base de dades i l'esquema.

2. El servidor MCP.

3. Tots els objectes subjacents que fan servir les eines, com ara un servei de cerca, una vista semàntica o un magatzem.

Exemple:

GRANT USAGE ON DATABASE CHATGPT_APPS TO ROLE CHATGPT_CONNECTOR_ROLE;
GRANT USAGE ON SCHEMA CHATGPT_APPS.TOOLS TO ROLE CHATGPT_CONNECTOR_ROLE;
GRANT USAGE ON MCP SERVER CHATGPT_APPS.TOOLS.CHATGPT_SNOWFLAKE_MCP TO ROLE CHATGPT_CONNECTOR_ROLE;

GRANT USAGE ON CORTEX SEARCH SERVICE CHATGPT_APPS.TOOLS.SUPPORT_SEARCH_SERVICE TO ROLE CHATGPT_CONNECTOR_ROLE;
GRANT SELECT ON SEMANTIC VIEW CHATGPT_APPS.TOOLS.REVENUE_SEMANTIC_VIEW TO ROLE CHATGPT_CONNECTOR_ROLE;
GRANT USAGE ON WAREHOUSE CHATGPT_WH TO ROLE CHATGPT_CONNECTOR_ROLE;

Si el servidor MCP posa a disposició una UDF, un procediment emmagatzemat o un agent de Cortex, concedeix també els permisos necessaris per a aquest objecte.

Verifica que Snowflake està a punt

Executa:

SHOW MCP SERVERS IN SCHEMA CHATGPT_APPS.TOOLS;

Després, executa:

DESCRIBE MCP SERVER CHATGPT_APPS.TOOLS.CHATGPT_SNOWFLAKE_MCP;

Comprova que:

• El servidor existeix a la base de dades i l'esquema previstos.

• La llista d'eines és la que volies.

• L'identifier de cada eina apunta a l'objecte de Snowflake correcte.

• El rol amb què es fa la connexió té el permís USAGE sobre el servidor MCP.

• El rol amb què es fa la connexió té els permisos necessaris sobre cada objecte subjacent.

Introdueix les dades del servidor de Snowflake a ChatGPT

Per configurar-lo en un espai de treball, obre admin.openai.com, selecciona l'espai de treball de ChatGPT corresponent i obre Connectors. Per obtenir informació sobre la navegació per l'espai de treball i l'accés a les aplicacions antigues, consulta Controls d'administració, seguretat i compliment normatiu dels connectors i les aplicacions.

1. A ChatGPT, canvia al compte o a l'espai de treball on ha d'estar disponible l'aplicació.

2. Ves a Configuració > Connectors per a una configuració personal o a Consola d'administració > Connectors com a administrador per configurar-lo en un espai de treball.

3. Cerca Snowflake.

4. Activa Snowflake - Plantilla oficial.

5. Obre Snowflake - Plantilla oficial, introdueix un nom clar per a la connexió i selecciona Connecta.

6. Introdueix l'URL complet del servidor MCP gestionat:

https://<snowflake_host_prefix>.snowflakecomputing.com/api/v2/databases/{database}/schemas/{schema}/mcp-servers/{server}

Exemple:

https://myorg-myaccount.azure.snowflakecomputing.com/api/v2/databases/CHATGPT_APPS/schemas/TOOLS/mcp-servers/CHATGPT_SNOWFLAKE_MCP

Si la pantalla de configuració mostra la configuració de Snowflake en camps separats, fes servir els mateixos valors de l'URL:

Prefix d'amfitrió de Snowflake

Fes servir tot el que hi ha abans de .snowflakecomputing.com a l'URL del teu compte de Snowflake, inclòs qualsevol sufix de regió o de núvol.

Per exemple, si l'URL del compte comença per:

https://myorg-myaccount.azure.snowflakecomputing.com

El prefix d'amfitrió és:

myorg-myaccount.azure

Base de dades

Introdueix la base de dades que conté el servidor MCP, per exemple:

CHATGPT_APPS

Esquema

Introdueix l'esquema que conté el servidor MCP, per exemple:

TOOLS

Nom del servidor MCP

Introdueix el nom de l'objecte de servidor MCP de Snowflake, per exemple:

CHATGPT_SNOWFLAKE_MCP

Configura l'OAuth

Tria l'opció d'OAuth que estigui disponible per al teu compte i que compleixi els requisits de la teva organització. Totes dues opcions fan servir la configuració comuna del servidor MCP descrita més amunt i les proves de connexió i els controls d'accés que es descriuen a continuació.

Amb qualsevol de les dues opcions d'OAuth, quan fas servir session:role:all, Snowflake utilitza el rol predeterminat de cada usuari. El rol predeterminat ha de figurar a la llista de rols permesos de la integració OAuth, si està configurada, i no ha d'estar bloquejat. Disposar d'un altre rol aprovat no fa que se seleccioni automàticament.

OAuth integrat

Abans de continuar, completa les seccions comunes anteriors per crear el servidor MCP, concedir permisos, verificar el servidor i introduir-ne les dades a ChatGPT. És obligatori fer-ho encara que hagis arribat directament a aquesta secció.

Fes servir aquesta opció només si l'aplicació associada de ChatGPT està disponible per al teu compte de Snowflake i l'OAuth integrat està disponible al diàleg de configuració de ChatGPT.

1. Demana a un administrador de Snowflake que activi la integració associada de ChatGPT al mateix compte de Snowflake que allotja el servidor MCP. Reutilitza una integració associada de ChatGPT que ja existeixi i estigui activada.

2. Al diàleg de configuració de ChatGPT, fes servir l'OAuth integrat. No cal que introdueixis cap ID de client ni secret de client, ni que registris cap URL de retorn.

3. Continua amb la secció Connecta i gestiona Snowflake que trobaràs més avall per iniciar la sessió, donar el consentiment i configurar l'accés. Després, completa la secció Prova l'aplicació, incloses les proves amb membres autoritzats que no siguin administradors.

El funcionament del rol predeterminat, la llista de rols permesos i els rols bloquejats que s'ha descrit més amunt també s'aplica a aquesta opció.

Client OAuth personalitzat

Abans de continuar, completa les seccions comunes anteriors per crear el servidor MCP, concedir permisos, verificar el servidor i introduir-ne les dades a ChatGPT. És obligatori fer-ho encara que hagis arribat directament a aquesta secció.

Per a un client OAuth personalitzat, necessites un ID de client i un secret de client de Snowflake. El funcionament del rol predeterminat, la llista de rols permesos i els rols bloquejats que s'ha descrit més amunt també s'aplica a aquesta opció.

1. Al diàleg de configuració de ChatGPT, selecciona Configuració avançada d'OAuth > Client OAuth definit per l'usuari i copia exactament l'URL de retorn que es mostra a ChatGPT.

2. Crea una integració de seguretat OAuth personalitzada amb OAUTH_CLIENT_TYPE = 'CONFIDENTIAL' i estableix OAUTH_REDIRECT_URI amb aquest URL de retorn exacte.

3. Executa la sentència següent a Snowflake amb el nom de la integració en majúscules:

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('YOUR_INTEGRATION_NAME');

4. Del resultat JSON, enganxa oauth_client_id a ID de client OAuth i oauth_client_secret a Secret de client OAuth a ChatGPT.

5. Estableix el Mètode d'autenticació del punt final de testimonis en client_secret_basic.

Després d'introduir les credencials del client personalitzat, continua amb les seccions Connecta i gestiona Snowflake i Prova l'aplicació que trobaràs més avall.

Connecta i gestiona Snowflake

1. Amb qualsevol de les dues opcions d'OAuth, selecciona Continua al mateix diàleg de configuració de ChatGPT, inicia la sessió a Snowflake i autoritza la connexió. Pots fer servir l'SSO de la teva organització si està configurat.

2. Per configurar-lo en un espai de treball, configura la política d'instal·lació de connectors i l'accés per rol o grup dels membres que l'hagin de fer servir. Comprova que tant Snowflake com Snowflake - Plantilla oficial estan activats.

3. Els administradors de l'espai de treball s'encarreguen de configurar l'Accés d'usuaris per als rols que hagin de fer servir Snowflake.

4. Els administradors de l'espai de treball s'encarreguen de revisar el Control d'accions de les eines disponibles.

5. Els administradors de l'espai de treball s'encarreguen de revisar els Permisos de l'aplicació per triar quan ChatGPT demana permís als membres abans de fer servir l'aplicació.

Aquests permisos de l'aplicació s'apliquen a les converses de ChatGPT. Els agents de l'espai de treball fan servir controls específics que el creador de cada agent configura per determinar quines accions de l'aplicació estan disponibles i quan es demana als usuaris finals que les aprovin. Per obtenir informació sobre el comportament dels agents, consulta: Agents de l'espai de treball de ChatGPT per a Enterprise i Business.

Prova l'aplicació

1. Obre un xat, selecciona Snowflake i prova la connexió.

2. Comprova que ChatGPT detecta les eines que has configurat.

3. Executa primer una acció de lectura de baix risc, com ara una cerca o una consulta de només lectura sobre dades aprovades.

4. Comprova que els permisos de Snowflake impedeixen l'accés més enllà del rol i els objectes aprovats.

5. Si el configures en un espai de treball, fes proves amb membres autoritzats que no siguin administradors i que tinguin rols predeterminats de Snowflake diferents. Que un administrador es pugui connectar correctament no confirma que tots els membres ho puguin fer.

En el cas dels administradors de l'espai de treball, no n'hi ha prou d'activar només Snowflake. Si no s'ha activat i connectat Snowflake - Plantilla oficial, el connector pot aparèixer desactivat per als membres.

URL del servidor MCP i funcionament de l'OAuth

ChatGPT es connecta a l'URL complet del servidor MCP gestionat per Snowflake:

https://<snowflake_host_prefix>.snowflakecomputing.com/api/v2/databases/{database}/schemas/{schema}/mcp-servers/{server}

ChatGPT fa servir el prefix d'amfitrió de Snowflake d'aquest URL per resoldre els punts finals OAuth de Snowflake següents:

• Autorització: https://<snowflake_host_prefix>.snowflakecomputing.com/oauth/authorize

• Testimoni: https://<snowflake_host_prefix>.snowflakecomputing.com/oauth/token-request

No hi enganxis un URL de Snowsight, només l'URL arrel del compte de Snowflake ni un URL amb segments de camí addicionals. L'URL d'MCP ha d'incloure /api/v2/databases/{database}/schemas/{schema}/mcp-servers/{server} i coincidir exactament amb els teus objectes de Snowflake.

Resolució de problemes

Snowflake està activat per a un administrador, però desactivat per a un membre

• Comprova que tant Snowflake com Snowflake - Plantilla oficial estan activats a Consola d'administració > Connectors.

• Obre Snowflake - Plantilla oficial i completa el procés de Connecta. No n'hi ha prou d'activar la plantilla sense connectar-la.

• Obre Snowflake i comprova que la plantilla hi apareix com a aplicació necessària.

• Comprova que la política d'instal·lació de connectors permet el rol o el grup del membre afectat.

No s'ha trobat el servidor MCP

• Torna a comprovar l'URL complet del servidor MCP, o els quatre camps de la plantilla si la pantalla de configuració els demana.

• Comprova que el servidor MCP existeix exactament en aquesta base de dades i aquest esquema.

No apareix cap eina a ChatGPT

• Comprova que l'especificació del servidor MCP inclou eines.

• Comprova que el rol té el permís USAGE sobre el servidor MCP.

Una eina apareix, però falla quan es fa servir

• Comprova que el rol té el permís necessari sobre l'objecte subjacent de Snowflake, com ara el servei de cerca, la vista semàntica, el magatzem, el procediment o la UDF.

L'eina SQL falla

• Comprova que el nom del magatzem és correcte i que el magatzem està en funcionament.

• Comprova que el rol té el permís USAGE sobre el magatzem.

• Comprova que s'ha establert read_only: true si volies un accés de només lectura.

El rol ALL sol·licitat s'ha bloquejat explícitament

Demana a l'administrador de Snowflake que compari el teu rol predeterminat amb els rols permesos i bloquejats de la integració OAuth. Disposar d'un altre rol permès no fa que se seleccioni automàticament. Si escau, canvia el rol predeterminat per un rol aprovat i torna a connectar-te. Canviar el rol predeterminat també afecta les teves sessions de Snowflake fora de ChatGPT.

L'autorització falla

• Comprova que l'usuari pot iniciar la sessió a Snowflake.

• Quan facis servir session:role:all, comprova que la integració OAuth permet el rol predeterminat de l'usuari.

• Comprova que la configuració fa servir el flux OAuth per a MCP gestionat per Snowflake.

• Si fas servir un client OAuth personalitzat, comprova que l'ID de client i el Secret de client coincideixen amb els de la integració OAuth de Snowflake i que el seu URI de redirecció coincideix exactament amb l'URL de retorn que es mostra a ChatGPT.

  Si fas servir l'OAuth integrat, demana a un administrador de Snowflake que comprovi que la integració associada de ChatGPT està disponible i activada al compte que allotja el servidor MCP.

La política de xarxa o la llista d'IP permeses de Snowflake bloqueja el connector

• Demana a un administrador de Snowflake que actualitzi la política de xarxa o les regles d'accés de Snowflake.

• Permet les connexions entrants des dels intervals d'IP de sortida dels connectors de ChatGPT vigents.

• Configura aquesta llista d'IP permeses a Snowflake. És independent de la llista d'IP permeses de l'espai de treball de ChatGPT.

• Sempre que sigui possible, automatitza les actualitzacions a partir del JSON publicat, perquè els intervals poden canviar.

Problema de connexió amb el nom d'amfitrió

Fes servir el prefix d'amfitrió correcte de Snowflake. Els noms d'amfitrió de Snowflake amb guions baixos poden causar problemes; és preferible fer servir guionets.

Referències

• Servidor MCP gestionat per Snowflake

• CREATE MCP SERVER

• DESCRIBE MCP SERVER

• SHOW MCP SERVERS