Cấu hình Microsoft Entra ID

# Đăng nhập Azure
az login

# Xem thông tin Entra ID tenant hiện tại
az account show --query '{tenantId:tenantId, subscriptionId:id, name:name}' -o json

# Xem danh sách tenant (nếu có nhiều)
az account tenant list -o table

# Xem thông tin tổ chức (display name, domain)
az rest --method GET \
  --url 'https://graph.microsoft.com/v1.0/organization' \
  --query 'value[0].{displayName:displayName, domains:verifiedDomains[*].name}' \
  -o json

# Tạo Resource Group cho module 01
az group create \
  --name rg-az104-m01 \
  --location southeastasia \
  --tags Module=01 Course=AZ-104 Environment=Lab

# LƯU Ý: Azure CLI KHÔNG có lệnh "az ad domain".
# Custom domain của Entra ID được quản lý qua Microsoft Graph API (az rest) hoặc Portal.
# Cần đăng nhập bằng tài khoản Global Administrator (quyền Domain.ReadWrite.All).

# Xem danh sách domain hiện có trong tenant
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/domains" \
  --query "value[].{domain:id, verified:isVerified, default:isDefault}" -o table

# Thêm custom domain (thay hoatranlab.vn bằng domain thực sở hữu)
# Bước này chỉ thêm domain, chưa xác minh
az rest --method POST \
  --url "https://graph.microsoft.com/v1.0/domains" \
  --headers "Content-Type=application/json" \
  --body '{"id":"hoatranlab.vn"}'

# Lấy bản ghi xác minh (TXT/MX) để thêm vào DNS provider
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/domains/hoatranlab.vn/verificationDnsRecords" \
  --query "value[].{type:recordType, label:label, text:text, ttl:ttl}" -o table

# Sau khi đã thêm TXT record vào DNS, xác minh domain
# (Cần chờ DNS propagation 5–60 phút)
az rest --method POST \
  --url "https://graph.microsoft.com/v1.0/domains/hoatranlab.vn/verify" \
  --headers "Content-Type=application/json" \
  --body "{}"

# Kiểm tra trạng thái sau xác minh
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/domains/hoatranlab.vn" \
  --query "{domain:id, verified:isVerified, default:isDefault}" -o table

# Lấy access token cho Microsoft Graph
TOKEN=$(az account get-access-token \
  --resource https://graph.microsoft.com \
  --query accessToken -o tsv)

# Xem cấu hình SSPR hiện tại (authentication methods policy)
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy" \
  | python3 -m json.tool | grep -E '"id"|"state"|"displayName"'

# Tạo nhóm SSPR-Enabled để kiểm soát ai được dùng SSPR
az ad group create \
  --display-name "SSPR-Enabled-Users" \
  --mail-nickname "sspr-enabled-users" \
  --description "Nhóm người dùng được phép dùng Self-Service Password Reset"

# Xem Group ID
GROUP_SSPR=$(az ad group show \
  --group "SSPR-Enabled-Users" \
  --query id -o tsv)
echo "SSPR Group ID: $GROUP_SSPR"

# Ghi chú: Bật SSPR cho nhóm cụ thể thực hiện qua Portal:
# Entra ID → Password reset → Properties → Selected → chọn nhóm SSPR-Enabled-Users
# Sau đó vào Authentication methods → bật Mobile app notification, Email
# Vào Registration → On (require registration at sign-in)
echo "SSPR group created: $GROUP_SSPR"
echo "Tiếp theo: bật SSPR qua Portal → Entra ID → Password reset"

TOKEN=$(az account get-access-token \
  --resource https://graph.microsoft.com \
  --query accessToken -o tsv)

# Xem audit log 10 sự kiện gần nhất (yêu cầu P1/P2 hoặc quyền AuditLog.Read.All)
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/directoryAudits?\$top=10&\$orderby=activityDateTime desc" \
  | python3 -c "
import json,sys
data=json.load(sys.stdin)
for e in data.get('value',[]):
    print(f\"{e['activityDateTime'][:19]} | {e['activityDisplayName']} | {e['result']}\")
"

# Xem sign-in log 10 đăng nhập gần nhất
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=10&\$orderby=createdDateTime desc" \
  | python3 -c "
import json,sys
data=json.load(sys.stdin)
for e in data.get('value',[]):
    user=e.get('userDisplayName','N/A')
    status=e.get('status',{}).get('errorCode',0)
    app=e.get('appDisplayName','N/A')
    ts=e['createdDateTime'][:19]
    result='SUCCESS' if status==0 else f'FAIL({status})'
    print(f'{ts} | {user} | {app} | {result}')
"

# Xóa nhóm SSPR đã tạo
az ad group delete --group "SSPR-Enabled-Users"

# Xóa Resource Group (kéo theo tất cả resource bên trong)
az group delete --name rg-az104-m01 --yes --no-wait

# Xác nhận RG đã được đánh dấu xóa
az group show --name rg-az104-m01 --query provisioningState -o tsv 2>/dev/null \
  || echo "Resource group rg-az104-m01 đã xóa thành công"