如何将Terraform中Azure Sentinel告警规则查询拆分到多文件夹？

你遇到的核心问题是：Terraform默认不会自动加载子目录中的.tf文件，因此queries目录下定义的局部变量无法被根目录的main.tf识别。下面提供两种实用的实现方案：

方案一：用纯文本文件存储查询，通过file函数读取 #

这是最简洁的方式，适合仅存储查询语句的场景：

1. 调整queries目录下的文件后缀，比如改为.kql（Kusto查询语言标准后缀），文件名保持rule_1_query.kql、rule_2_query.kql等
2. 在.kql文件中直接写入完整的查询语句，无需Terraform语法包裹
3. 在main.tf中通过file函数读取文件内容：

resource "azurerm_sentinel_alert_rule_scheduled" "rule_1" {
  # path.module 指向当前模块根目录，确保路径正确
  query = file("${path.module}/queries/rule_1_query.kql")
  # 其他必填参数（如display_name、severity等）...
}

方案二：将queries作为Terraform模块，通过输出值引用 #

如果需要对查询语句做Terraform层面的处理（比如拼接变量），可以用模块方式实现：

1. 在queries目录下，为每个查询创建对应的.tf文件，通过output暴露查询内容：
   比如queries/rule_1_query.tf：

output "rule_1_query" {
  value = <<EOF
// 这里是完整的Kusto查询语句
SecurityEvent
| where EventID == 4625
| summarize count() by Computer
EOF
}

2. 在根目录的main.tf中调用这个本地模块：

module "sentinel_queries" {
  source = "./queries"
}

3. 引用模块的输出值作为告警规则的查询：

resource "azurerm_sentinel_alert_rule_scheduled" "rule_1" {
  query = module.sentinel_queries.rule_1_query
  # 其他必填参数...
}

额外说明 #

• 如果查询语句需要嵌入Terraform变量，方案一中可改用templatefile函数：

query = templatefile("${path.module}/queries/rule_1_query.kql", {
  threshold = var.failed_login_threshold
})

对应的.kql文件中用${threshold}作为变量占位符即可。

• 始终使用path.module构建文件路径，避免硬编码绝对路径导致的兼容性问题。

内容的提问来源于stack exchange，提问作者Akila Induranga