pg_duckdb 0.4.0版本中S3密钥创建功能的改进与使用指南

在pg_duckdb 0.4.0版本中，用户发现create_simple_secret函数尚未支持新增的url_style和endpoint参数，这给需要连接min.io等兼容S3协议存储服务的用户带来了不便。本文将详细介绍该问题的背景、解决方案以及最新改进。

问题背景

pg_duckdb作为PostgreSQL的扩展，允许用户在PostgreSQL环境中使用DuckDB的功能。在0.4.0版本中，新增了对S3协议存储服务的url_style参数支持，这对于需要连接min.io等兼容S3协议的服务非常重要。然而，用户发现便捷的create_simple_secret函数尚未更新以支持这些新参数。

临时解决方案

在官方修复之前，用户可以采用"高级"方式来创建包含这些参数的S3密钥：

1. 首先使用CREATE SERVER语句创建服务定义，指定非敏感参数：

CREATE SERVER my_s3_service
TYPE 's3'
FOREIGN DATA WRAPPER duckdb
OPTIONS (
    endpoint 'myendpoint.org.ca',
    region 'us-east-1',
    url_style 'true'
);

2. 然后使用CREATE USER MAPPING语句指定敏感凭证：

CREATE USER MAPPING FOR CURRENT_USER
SERVER my_s3_service
OPTIONS (KEY_ID 'mykeyid', SECRET 'mysecret');

这种方法虽然步骤稍多，但能够完整支持所有参数，包括url_style和endpoint。

官方改进

根据用户反馈，pg_duckdb项目已对create_simple_secret函数进行了改进，现在可以直接使用该函数创建包含url_style和endpoint参数的S3密钥：

SELECT duckdb.create_simple_secret(
    type := 'S3',
    endpoint := 'myendpoint.org.ca',
    key_id := 'mykeyid',
    secret := 'mysecret',
    region := 'us-east-1',
    url_style := 'path'
);

技术细节

url_style参数对于兼容S3协议的服务特别重要，它控制着URL的构建方式：

• 'path'样式：http://s3.amazonaws.com/bucket/key
• 'virtual'样式：http://bucket.s3.amazonaws.com/key

min.io等兼容服务通常需要使用'path'样式。而endpoint参数则允许用户指定自定义的S3服务端点，这对于私有部署的S3兼容服务是必需的。

最佳实践

1. 对于生产环境，建议使用最小权限原则，仅为必要的操作配置密钥
2. 定期轮换密钥以提高安全性
3. 考虑使用环境变量或密钥管理系统来管理敏感凭证
4. 对于复杂的配置，仍建议使用CREATE SERVER和CREATE USER MAPPING组合方式

随着pg_duckdb的持续发展，用户可以期待更多便捷功能的加入，同时保持与DuckDB核心功能的同步更新。