System-assigned Managed Identity cho VM

# Biến môi trường
RG="rg-az500-mi-lab17"
LOCATION="southeastasia"
KV_NAME="kv-az500-lab17-$(date +%s | tail -c 5)"
VM_NAME="vm-az500-lab17"
SUBSCRIPTION_ID=$(az account show --query id -o tsv)

# Tạo Resource Group
az group create --name $RG --location $LOCATION

# Tạo Key Vault với RBAC permission model (chuẩn 2026)
az keyvault create \
  --name $KV_NAME \
  --resource-group $RG \
  --location $LOCATION \
  --enable-rbac-authorization true \
  --sku standard \
  --enable-soft-delete true \
  --retention-days 7

echo "Key Vault: $KV_NAME"

# Gán quyền Key Vault Secrets Officer cho user hiện tại (để tạo secret)
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)
KV_ID=$(az keyvault show --name $KV_NAME --query id -o tsv)

az role assignment create \
  --assignee $CURRENT_USER \
  --role "Key Vault Secrets Officer" \
  --scope $KV_ID

# Tạo secret trong Key Vault
sleep 15  # Đợi role assignment propagate
az keyvault secret set \
  --vault-name $KV_NAME \
  --name "db-connection-string" \
  --value "Server=sql-lab17.database.windows.net;Database=appdb;Encrypt=True"

# Tạo VM Ubuntu 22.04 LTS (Standard_B1s để tiết kiệm chi phí)
az vm create \
  --resource-group $RG \
  --name $VM_NAME \
  --image Ubuntu2204 \
  --size Standard_B1s \
  --location $LOCATION \
  --admin-username azureuser \
  --generate-ssh-keys \
  --public-ip-sku Standard \
  --tags "owner=hoatranlab" "env=lab" "module=az500"

echo "VM created: $VM_NAME"
VM_PUBLIC_IP=$(az vm show --resource-group $RG --name $VM_NAME \
  --show-details --query publicIps -o tsv)
echo "Public IP: $VM_PUBLIC_IP"

# Bật system-assigned managed identity cho VM
az vm identity assign \
  --resource-group $RG \
  --name $VM_NAME \
  --identities "[system]"

# Lấy Object ID của managed identity (service principal)
MI_OBJECT_ID=$(az vm identity show \
  --resource-group $RG \
  --name $VM_NAME \
  --query principalId -o tsv)

echo "Managed Identity Object ID: $MI_OBJECT_ID"

# Xác nhận trong Entra ID — service principal đã được tạo
az ad sp show --id $MI_OBJECT_ID \
  --query "{Name:displayName, Type:servicePrincipalType, AppId:appId}" \
  --output json

# Gán role "Key Vault Secrets User" cho managed identity trên scope Key Vault
az role assignment create \
  --assignee-object-id $MI_OBJECT_ID \
  --assignee-principal-type ServicePrincipal \
  --role "Key Vault Secrets User" \
  --scope $KV_ID

# Xác nhận role assignment
az role assignment list \
  --assignee $MI_OBJECT_ID \
  --scope $KV_ID \
  --output table

# Kết quả mong đợi:
# RoleDefinitionName        PrincipalName        Scope
# Key Vault Secrets User    vm-az500-lab17       /subscriptions/.../kv-az500-lab17-*

# === Chạy trên máy local — SSH vào VM ===
ssh azureuser@$VM_PUBLIC_IP

# === Từ đây tất cả lệnh chạy BÊN TRONG VM ===

# Cài curl nếu chưa có
sudo apt-get update && sudo apt-get install -y curl jq

# Lấy access token cho Key Vault qua IMDS
# resource = https://vault.azure.net (Key Vault endpoint)
TOKEN=$(curl -s \
  "http://169.254.169.254/metadata/identity/oauth2/token?\
api-version=2018-02-01&\
resource=https%3A%2F%2Fvault.azure.net" \
  -H "Metadata: true" | jq -r '.access_token')

echo "Token type: Bearer"
echo "Token (first 50 chars): ${TOKEN:0:50}..."

# Decode JWT header để xem thông tin token (không decode signature)
echo $TOKEN | cut -d'.' -f2 | base64 -d 2>/dev/null | jq \
  '{oid: .oid, appid: .appid, iss: .iss, exp: .exp}' 2>/dev/null || \
  echo "Token obtained successfully"

# Thay KV_NAME bằng tên Key Vault thực (hỏi admin hoặc xem từ Portal)
KV_NAME="kv-az500-lab17-XXXXX"  # Thay XXXXX bằng suffix thực

# Đọc secret "db-connection-string" từ Key Vault REST API
SECRET_RESPONSE=$(curl -s \
  "https://$KV_NAME.vault.azure.net/secrets/db-connection-string?api-version=7.4" \
  -H "Authorization: Bearer $TOKEN")

# Parse giá trị secret
SECRET_VALUE=$(echo $SECRET_RESPONSE | jq -r '.value')
echo "Secret value: $SECRET_VALUE"

# Kiểm tra metadata của secret
echo $SECRET_RESPONSE | jq '{id: .id, created: .attributes.created, enabled: .attributes.enabled}'

# Thử list tất cả secrets — sẽ FAIL vì Key Vault Secrets User không có quyền list
curl -s \
  "https://$KV_NAME.vault.azure.net/secrets?api-version=7.4" \
  -H "Authorization: Bearer $TOKEN" | jq '.error'
# Kết quả: Forbidden — đúng với principle of least privilege