DuckDB 读写 S3 上的 Parquet 文件需要 AWS 凭证。除硬编码密钥外，可用 `PROVIDER credential_chain` 让 DuckDB 按 AWS SDK 顺序自动查找凭证：环境变量、IRSA Web Identity、SSO 配置文件、ECS 任务角色、EC2 实例元数据，取首个可用者。该逻辑位于 aws 扩展，也适用于 GCS 和 R2。IRSA 通过注解 ServiceAccount 注入角色与令牌，由 kubelet 和 SDK 自动轮换。DuckLake 本地开发用静态密钥，生产用凭证链。

AWS IAM信任链通过角色委托实现权限传递，使实体能够临时获取角色权限。核心组件包括IAM角色、临时凭证和服务角色。信任策略定义可扮演角色的实体，访问策略则定义具体权限。最佳实践是遵循最小权限原则，并监控和审计权限使用。理解信任链机制有助于提升AWS环境安全性。

本文介绍了如何使用IRSA配置EKS集群，在不同的AWS账户中使用Amazon SES发送电子邮件。IRSA允许Kubernetes服务账户扮演IAM角色，提高安全性、简化设置，并优化从Kubernetes pods发送电子邮件的工作流程。配置IRSA需要启用EKS集群的OIDC，并创建IAM策略、IAM角色和Kubernetes服务账户。跨账户访问SES资源需要建立信任策略和配置SES。最佳实践和安全注意事项也被提及。