Azure Storage Security

# Tạo Resource Group
az group create \
  --name rg-az104-m18 \
  --location southeastasia \
  --tags Course=AZ-104 Module=18

# Tạo Storage Account
STORAGE_NAME="staz104m18$(date +%s | tail -c 6)"
echo "Storage: $STORAGE_NAME"

az storage account create \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m18 \
  --location southeastasia \
  --sku Standard_LRS \
  --kind StorageV2 \
  --https-only true \
  --min-tls-version TLS1_2 \
  --allow-blob-public-access false

CONN_STR=$(az storage account show-connection-string \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m18 \
  --query connectionString -o tsv)

# Tạo container và upload blob test
az storage container create --name secure-docs --connection-string "$CONN_STR" --public-access off
echo "Tài liệu bảo mật Module 18" > /tmp/secure-file.txt
az storage blob upload \
  --container-name secure-docs \
  --name "reports/secure-file.txt" \
  --file /tmp/secure-file.txt \
  --connection-string "$CONN_STR"

# --- Service SAS: cho phép đọc blob cụ thể trong 2 giờ ---
BLOB_SAS=$(az storage blob generate-sas \
  --account-name $STORAGE_NAME \
  --container-name secure-docs \
  --name "reports/secure-file.txt" \
  --permissions r \
  --expiry $(date -u -d "2 hours" +%Y-%m-%dT%H:%MZ) \
  --https-only \
  --connection-string "$CONN_STR" \
  -o tsv)

BLOB_URL="https://${STORAGE_NAME}.blob.core.windows.net/secure-docs/reports/secure-file.txt?${BLOB_SAS}"
echo "=== Service SAS (blob read, 2h) ==="
echo "$BLOB_URL"
# Test: curl "$BLOB_URL" để xem nội dung file

# --- Account SAS: nhiều permissions, nhiều services ---
ACCOUNT_SAS=$(az storage account generate-sas \
  --account-name $STORAGE_NAME \
  --permissions rwdlacup \
  --resource-types sco \
  --services bfqt \
  --expiry $(date -u -d "1 hour" +%Y-%m-%dT%H:%MZ) \
  --https-only \
  --connection-string "$CONN_STR" \
  -o tsv)
echo "=== Account SAS (1h, all services) ==="
echo "https://${STORAGE_NAME}.blob.core.windows.net/?${ACCOUNT_SAS}"

# Tạo Stored Access Policy trên container
az storage container policy create \
  --container-name secure-docs \
  --name "partner-read-policy" \
  --permissions r \
  --start $(date -u +%Y-%m-%dT%H:%MZ) \
  --expiry $(date -u -d "30 days" +%Y-%m-%dT%H:%MZ) \
  --connection-string "$CONN_STR"

# Xác nhận policy đã tạo
az storage container policy list \
  --container-name secure-docs \
  --connection-string "$CONN_STR" \
  -o table

# Tạo Service SAS liên kết với Stored Access Policy
POLICY_SAS=$(az storage container generate-sas \
  --name secure-docs \
  --policy-name "partner-read-policy" \
  --connection-string "$CONN_STR" \
  -o tsv)

CONTAINER_URL="https://${STORAGE_NAME}.blob.core.windows.net/secure-docs?${POLICY_SAS}"
echo "=== SAS liên kết Stored Policy (có thể thu hồi) ==="
echo "$CONTAINER_URL"

# ===  Demo Thu Hồi Ngay Lập Tức ===
# Xóa policy → tất cả SAS liên kết hết hiệu lực tức thì
# (Chạy lệnh này khi muốn thu hồi quyền)
# az storage container policy delete \
#   --container-name secure-docs \
#   --name "partner-read-policy" \
#   --connection-string "$CONN_STR"
# Sau đó thử lại URL trên → phải nhận AuthorizationPermissionMismatch

# Xem và xoay Account Key (giả lập incident response)
az storage account keys list \
  --resource-group rg-az104-m18 \
  --account-name $STORAGE_NAME \
  --query '[].{KeyName:keyName, Permissions:permissions}' -o table

# Xoay key2 (giữ key1 đang dùng, sau khi app đổi sang key2 mới xoay key1)
az storage account keys renew \
  --resource-group rg-az104-m18 \
  --account-name $STORAGE_NAME \
  --key key2
echo "Key2 đã xoay vòng thành công"

TENANT_ID=$(az account show --query tenantId -o tsv)
SUB_ID=$(az account show --query id -o tsv)

# Tạo Azure Key Vault (phải enable soft-delete và purge protection cho CMK)
KV_NAME="kv-az104-m18-$(date +%s | tail -c 6)"
az keyvault create \
  --name $KV_NAME \
  --resource-group rg-az104-m18 \
  --location southeastasia \
  --sku standard \
  --enable-soft-delete true \
  --enable-purge-protection true \
  --retention-days 7

# Tạo RSA-2048 key trong Key Vault (encryption key cho storage)
az keyvault key create \
  --vault-name $KV_NAME \
  --name storage-cmk \
  --kty RSA \
  --size 2048 \
  --ops wrapKey unwrapKey

# Lấy Key Vault URI và Key version
KV_URI=$(az keyvault show --name $KV_NAME --query properties.vaultUri -o tsv)
KEY_VERSION=$(az keyvault key show \
  --vault-name $KV_NAME \
  --name storage-cmk \
  --query key.kid -o tsv | rev | cut -d'/' -f1 | rev)
echo "Key Vault URI: $KV_URI"
echo "Key version: $KEY_VERSION"

# Bật System-assigned Managed Identity cho Storage Account
az storage account update \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m18 \
  --assign-identity

# Lấy Principal ID của Managed Identity
STORAGE_PRINCIPAL=$(az storage account show \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m18 \
  --query identity.principalId -o tsv)
echo "Storage Managed Identity: $STORAGE_PRINCIPAL"

# Cấp quyền Key Vault Crypto Service Encryption User cho Managed Identity
az role assignment create \
  --assignee $STORAGE_PRINCIPAL \
  --role "Key Vault Crypto Service Encryption User" \
  --scope $(az keyvault show --name $KV_NAME --query id -o tsv)

# Đợi role assignment propagate (~30 giây)
sleep 30

# Cấu hình Storage Account dùng CMK từ Key Vault
az storage account update \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m18 \
  --encryption-key-source Microsoft.Keyvault \
  --encryption-key-vault $KV_URI \
  --encryption-key-name storage-cmk \
  --encryption-key-version $KEY_VERSION

# Xác nhận CMK đã áp dụng
az storage account show \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m18 \
  --query 'encryption.keyVaultProperties' -o table

STORAGE_ID=$(az storage account show \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m18 \
  --query id -o tsv)

# Bật Microsoft Defender for Storage (per-storage account)
az security atp storage update \
  --resource-group rg-az104-m18 \
  --storage-account $STORAGE_NAME \
  --is-enabled true

echo "Defender for Storage đã bật trên $STORAGE_NAME"

# Bật Storage Analytics Logging (Classic) cho Blob service
az storage logging update \
  --account-name $STORAGE_NAME \
  --connection-string "$CONN_STR" \
  --services b \
  --log rwd \
  --retention 7 \
  --version 2.0

# Bật Storage Analytics Logging cho Queue service
az storage logging update \
  --account-name $STORAGE_NAME \
  --connection-string "$CONN_STR" \
  --services q \
  --log rwd \
  --retention 7 \
  --version 2.0

# Xem cấu hình logging hiện tại
az storage logging show \
  --account-name $STORAGE_NAME \
  --connection-string "$CONN_STR" \
  --services b \
  -o table

# Bật Diagnostic Settings: gửi metrics và logs vào Log Analytics
# (thay LOG_ANALYTICS_WORKSPACE_ID bằng workspace thực)
# az monitor diagnostic-settings create \
#   --name "storage-diag-m18" \
#   --resource $STORAGE_ID \
#   --logs '[{"category":"StorageRead","enabled":true},{"category":"StorageWrite","enabled":true},{"category":"StorageDelete","enabled":true}]' \
#   --metrics '[{"category":"Transaction","enabled":true}]' \
#   --workspace LOG_ANALYTICS_WORKSPACE_ID

echo "Storage logging và monitoring đã cấu hình"

# Trước tiên gỡ CMK khỏi storage account (chuyển về Microsoft-managed)
# để tránh lỗi khi xóa Key Vault
az storage account update \
  --name $STORAGE_NAME \
  --resource-group rg-az104-m18 \
  --encryption-key-source Microsoft.Storage

# Xóa toàn bộ Resource Group (bao gồm storage account và Key Vault)
az group delete --name rg-az104-m18 --yes --no-wait

# Key Vault có soft-delete → sau khi xóa RG cần purge để xóa hoàn toàn
# (Thực hiện sau khi RG đã xóa xong, ~5 phút)
# az keyvault purge --name $KV_NAME --location southeastasia

echo "Resource Group rg-az104-m18 đang xóa nền."