頑張るしかなさそう、↑を参考に整理して書いた
WITH parsed_logs AS (
    SELECT
        -- 正規表現を使用してログ行を各フィールドに分解
        regexp_extract(
            col1,
            '^([0-9a-zA-Z]+)\s+([a-z0-9.\-]+)\s+\[([0-9/A-Za-z: +]+)\] ([^ ]+) ([^ ]+) ([^ ]+) ([^ ]+) ([^ ]+) ("[^"]*"|-) ([^ ]+) ([^ ]+) (\d+|-) (\d+|-) (\d+|-) (\d+|-) ("[^"]*"|-) ("[^"]*"|-) (\S+) (\S+) (\S+) (\S+) (\S+) (\S+) (\S+) (\S+) (\S+)(.*)$',
            [
                'bucket_owner',    -- Bucket Owner
                'bucket',         -- バケット名
                'timestamp',      -- タイムスタンプ
                'remote_ip',      -- リモートIP
                'request',        -- リクエスト
                'request_id',     -- リクエストID
                'operation',      -- 操作
                's3_key',        -- S3キー
                'request_uri',    -- リクエストURI
                'http_status',    -- HTTPステータス
                's3_errorcode',   -- S3エラーコード
                'bytes_sent',     -- 送信バイト数
                'object_size',    -- オブジェクトサイズ
                'total_time',     -- 合計時間
                'turn_around_time', -- ターンアラウンド時間
                'referer',        -- リファラー
                'user_agent',     -- ユーザーエージェント
                'version_id',     -- バージョンID
                'host_id',        -- ホストID
                'sigver',         -- 署名バージョン
                'cyphersuite',    -- 暗号スイート
                'auth_type',      -- 認証タイプ
                'host_header',    -- ホストヘッダー
                'tls_version',    -- TLSバージョン
                'access_point_arn', -- アクセスポイントARN
                'acl_required',   -- ACL要求
                'extra'           -- 追加情報
            ]
        ) AS log_struct
    FROM
        -- CSVを単一カラムとして読み込む
        read_csv(
            's3://<bucket>/<prefix>/*',
            columns={'col1': 'VARCHAR'},
            header=false,
            -- カンマ区切りを避けるため、タブを区切り文字として使用
            delim='\t'
        )
),
logs AS (
    SELECT
        nullif(log_struct.bucket_owner, '-') AS bucket_owner,
        nullif(log_struct.bucket, '-') AS bucket,
        strptime(log_struct.timestamp, '%d/%b/%Y:%H:%M:%S %z') AS timestamp,
        nullif(log_struct.remote_ip, '-') AS remote_ip,
        nullif(log_struct.request, '-') AS request,
        nullif(log_struct.request_id, '-') AS request_id,
        nullif(log_struct.operation, '-') AS operation,
        nullif(log_struct.s3_key, '-') AS s3_key,
        nullif(log_struct.request_uri, '-') AS request_uri,
        CAST(nullif(log_struct.http_status, '-') AS INTEGER) AS http_status,
        nullif(log_struct.s3_errorcode, '-') AS s3_errorcode,
        CAST(nullif(log_struct.bytes_sent, '-') AS INTEGER) AS bytes_sent,
        CAST(nullif(log_struct.object_size, '-') AS INTEGER) AS object_size,
        CAST(nullif(log_struct.total_time, '-') AS INTEGER) AS total_time,
        CAST(nullif(log_struct.turn_around_time, '-') AS INTEGER) AS turn_around_time,
        nullif(log_struct.referer, '"-"') AS referer,
        nullif(log_struct.user_agent, '"-"') AS user_agent,
        nullif(log_struct.version_id, '-') AS version_id,
        nullif(log_struct.host_id, '-') AS host_id,
        nullif(log_struct.sigver, '-') AS sigver,
        nullif(log_struct.cyphersuite, '-') AS cyphersuite,
        nullif(log_struct.auth_type, '-') AS auth_type,
        nullif(log_struct.host_header, '-') AS host_header,
        nullif(log_struct.tls_version, '-') AS tls_version,
        nullif(log_struct.access_point_arn, '-') AS access_point_arn,
        nullif(log_struct.acl_required, '-') AS acl_required,
        nullif(log_struct.extra, '-') AS extra
    FROM parsed_logs
)

SELECT * FROM logs;
DuckDB で S3 のアクセスログをクエリする
