Cấu hình Storage Accounts

# Tạo Resource Group
az group create \
  --name rg-az104-m16 \
  --location southeastasia \
  --tags Course=AZ-104 Module=16

# Tên storage account phải unique toàn cầu, 3-24 ký tự, viết thường, chỉ a-z 0-9
STORAGE_NAME="staz104m16$(date +%s | tail -c 6)"
echo "Storage Account name: $STORAGE_NAME"

# Tạo storage account Standard GPv2 với LRS
az storage account create \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m16 \
  --location southeastasia \
  --sku Standard_LRS \
  --kind StorageV2 \
  --access-tier Hot \
  --https-only true \
  --min-tls-version TLS1_2 \
  --allow-blob-public-access false \
  --tags Course=AZ-104 Module=16

# Xác nhận storage account đã tạo
az storage account show \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m16 \
  --query '{name:name, sku:sku.name, kind:kind, location:primaryLocation, httpsOnly:enableHttpsTrafficOnly}' \
  -o table

# Nâng cấp replication LRS → GRS (có thể làm online không downtime)
az storage account update \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m16 \
  --sku Standard_GRS

# Kiểm tra replication mới
az storage account show \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m16 \
  --query 'sku.name' -o tsv

# Tạo thêm một storage account với ZRS để so sánh
STORAGE_ZRS="stz104m16zrs$(date +%s | tail -c 4)"
az storage account create \
  --name $STORAGE_ZRS \
  --resource-group rg-az104-m16 \
  --location southeastasia \
  --sku Standard_ZRS \
  --kind StorageV2 \
  --https-only true \
  --min-tls-version TLS1_2 \
  --allow-blob-public-access false \
  --tags Course=AZ-104 Module=16 Replication=ZRS

# Liệt kê tất cả storage accounts trong RG
az storage account list \
  --resource-group rg-az104-m16 \
  --query '[].{Name:name, SKU:sku.name, Location:primaryLocation}' \
  -o table

# Tạo VNet và subnet để test service endpoint
az network vnet create \
  --resource-group rg-az104-m16 \
  --name vnet-m16 \
  --address-prefix 10.16.0.0/16 \
  --subnet-name snet-storage \
  --subnet-prefix 10.16.1.0/24 \
  --location southeastasia

# Bật Microsoft.Storage service endpoint trên subnet
az network vnet subnet update \
  --resource-group rg-az104-m16 \
  --vnet-name vnet-m16 \
  --name snet-storage \
  --service-endpoints Microsoft.Storage

# Lấy subnet resource ID
SUBNET_ID=$(az network vnet subnet show \
  --resource-group rg-az104-m16 \
  --vnet-name vnet-m16 \
  --name snet-storage \
  --query id -o tsv)

# Chuyển storage firewall sang Restricted mode — deny tất cả
az storage account update \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m16 \
  --default-action Deny

# Cho phép subnet truy cập (service endpoint rule)
az storage account network-rule add \
  --resource-group rg-az104-m16 \
  --account-name $STORAGE_NAME \
  --subnet $SUBNET_ID

# Whitelist IP của máy hiện tại (thay bằng IP thực của bạn)
MY_IP=$(curl -s https://api.ipify.org)
echo "My public IP: $MY_IP"
az storage account network-rule add \
  --resource-group rg-az104-m16 \
  --account-name $STORAGE_NAME \
  --ip-address $MY_IP

# Xem tất cả network rules
az storage account network-rule list \
  --resource-group rg-az104-m16 \
  --account-name $STORAGE_NAME \
  -o table

# Lấy storage account resource ID
STORAGE_ID=$(az storage account show \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m16 \
  --query id -o tsv)

# Lấy Object ID của user hiện tại
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)

# Gán role Storage Blob Data Contributor (quyền đọc/ghi/xóa blob)
az role assignment create \
  --assignee $CURRENT_USER \
  --role "Storage Blob Data Contributor" \
  --scope $STORAGE_ID

# Gán role Storage Queue Data Reader cho một service principal (demo)
# az role assignment create --assignee  --role "Storage Queue Data Reader" --scope $STORAGE_ID

# Liệt kê role assignments trên storage account
az role assignment list \
  --scope $STORAGE_ID \
  --query '[].{Principal:principalName, Role:roleDefinitionName}' \
  -o table

# Xem account keys hiện tại
az storage account keys list \
  --resource-group rg-az104-m16 \
  --account-name $STORAGE_NAME \
  --query '[].{KeyName:keyName, Value:value}' \
  -o table

# Xoay key1 (regenerate) — không ảnh hưởng key2
az storage account keys renew \
  --resource-group rg-az104-m16 \
  --account-name $STORAGE_NAME \
  --key key1

echo "Key1 đã được xoay vòng. Cập nhật connection string trong ứng dụng nếu dùng key1."

# Xóa toàn bộ Resource Group (kéo theo storage accounts, VNet, subnet)
az group delete --name rg-az104-m16 --yes --no-wait

echo "Resource Group rg-az104-m16 đang được xóa nền. Kiểm tra lại sau 2-3 phút."