aws 扩展使用 AWS SDK，在 httpfs 扩展的 S3 功能之上添加了更多功能（例如，身份验证）。

安装和加载

aws 扩展将在首次使用时从官方扩展仓库透明地自动加载。如果您想手动安装和加载它，请运行：

INSTALL aws;
LOAD aws;

在大多数情况下，aws 扩展与 [httpfs 扩展](/docs/stable/core_extensions/httpfs/overview.html) 结合使用。

配置和身份验证

配置和验证 AWS S3 端点的首选方法是使用秘密。

config 提供者

默认提供者 config（即用户配置）允许通过手动提供密钥来访问 S3 存储桶。例如：

CREATE OR REPLACE SECRET secret (
    TYPE s3,
    PROVIDER config,
    KEY_ID 'AKIAIOSFODNN7EXAMPLE',
    SECRET 'wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY',
    REGION 'us-east-1'
);

提示 如果您遇到 IO 错误（Connection error for HTTP HEAD），请通过 ENDPOINT 's3.your_region.amazonaws.com' 明确配置端点。

现在，要使用上述秘密进行查询，只需查询任何以 s3:// 为前缀的文件：

SELECT *
FROM 's3://your-bucket/your_file.parquet';

credential_chain 提供者

credential_chain 提供者允许使用 AWS SDK 提供的机制自动获取凭据。例如，要使用 AWS SDK 默认提供者：

CREATE OR REPLACE SECRET secret (
    TYPE s3,
    PROVIDER credential_chain
);

同样，要使用上述秘密查询文件，只需查询任何以 s3:// 为前缀的文件。

DuckDB 还允许使用 CHAIN 关键字指定特定的链。这需要一个以分号分隔的提供者列表（a;b;c），它们将按顺序尝试。例如：

CREATE OR REPLACE SECRET secret (
    TYPE s3,
    PROVIDER credential_chain,
    CHAIN 'env;config'
);

CHAIN 的可能值如下：

• config
• sts
• sso
• env
• instance
• process

credential_chain 提供者还允许覆盖自动获取的配置。例如，要自动加载凭据，然后覆盖区域，请运行：

CREATE OR REPLACE SECRET secret (
    TYPE s3,
    PROVIDER credential_chain,
    CHAIN config,
    REGION 'eu-west-1'
);

自动刷新

某些 AWS 端点需要定期刷新凭据。这可以通过 REFRESH auto 选项指定：

CREATE SECRET env_test (
    TYPE s3,
    PROVIDER credential_chain,
    REFRESH auto
);

旧版功能

已弃用 load_aws_credentials 函数已弃用。

在 0.10.0 版本之前，DuckDB 没有秘密管理器，为了自动加载凭据，AWS 扩展提供了一个特殊函数来以旧版身份验证方法加载 AWS 凭据。

加载 AWS 凭据（旧版）

要加载 AWS 凭据，请运行：

CALL load_aws_credentials();

该函数接受一个字符串参数来指定特定的配置文件：

CALL load_aws_credentials('minio-testing-2');

有几个参数可以调整调用的行为：

CALL load_aws_credentials('minio-testing-2', set_region = false, redact_secret = false);