使用AzureRM Terraform部署ARM模板创建Defender治理规则遇JSON转义错误

错误本质 #

"expanding 'template_content': invalid character '\' after object key:value pair"是因为ARM模板的JSON内容在Terraform中未正确序列化，导致解析时识别到非法转义字符。

解决方法 #

1. 用外部JSON文件替代内嵌模板 #

把ARM模板保存为独立的.json文件，通过file()+jsonencode()读取，彻底避免手动转义的麻烦：

resource "azurerm_resource_group_template_deployment" "defender_rule" {
  name                = "defender-governance-deploy"
  resource_group_name = azurerm_resource_group.your_rg.name

  template_content = jsonencode(file("./defender-governance-rule.json"))
}

2. 先校验ARM模板本身的JSON合法性 #

• 用VS Code的JSON校验功能检查模板是否有语法错误（比如多余逗号、未闭合引号、错误的键值对格式）。
• 确保模板内需要转义的字符（如字符串中的双引号）已正确写成\"。

3. 内嵌模板用HEREDOC语法 #

如果必须在Terraform代码内嵌入ARM模板，用HEREDOC包裹JSON内容，jsonencode()会自动处理转义，无需手动添加\：

resource "azurerm_resource_group_template_deployment" "defender_rule" {
  name                = "defender-governance-deploy"
  resource_group_name = azurerm_resource_group.your_rg.name

  template_content = jsonencode(<<EOF
{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "resources": [
    {
      "type": "Microsoft.Security/governanceRules",
      "apiVersion": "2022-01-01-preview",
      "name": "your-rule-id",
      "properties": {
        "displayName": "Your Governance Rule",
        "description": "Enforce Defender security standards",
        "owner": "admin@yourdomain.com",
        "isDisabled": false,
        "rulePriority": "High",
        "sourceResourceType": "Assessments",
        "conditionSets": [
          {
            "conditions": [
              {
                "property": "AssessmentKey",
                "operator": "Equals",
                "value": "your-assessment-key"
              }
            ]
          }
        ],
        "actionGroups": []
      }
    }
  ]
}
EOF
)
}

4. 排查常见转义坑点 #

• 禁止手动在Terraform字符串中添加\转义双引号，jsonencode()会自动处理所有转义需求。
• 检查ARM模板中是否存在多余的反斜杠，比如无意义的\会直接触发解析错误。

验证步骤 #

1. 执行terraform validate检查配置文件语法是否合规。
2. 用terraform plan预览部署，确认转义错误是否消失。
3. 若仍报错，添加output块输出template_content的实际值，查看传递给Azure的JSON内容是否正确。

内容的提问来源于stack exchange，提问作者Daniel Alves