User-assigned Managed Identity cho App Service

# Biến môi trường
RG="rg-az500-mi-lab18"
LOCATION="southeastasia"
MI_NAME="mi-az500-appservice-lab18"
KV_NAME="kv-az500-lab18-$(date +%s | tail -c 5)"
APP_PLAN="plan-az500-lab18"
APP_NAME="app-az500-lab18-$(date +%s | tail -c 5)"

# Tạo Resource Group
az group create --name $RG --location $LOCATION

# Tạo User-assigned Managed Identity (Azure resource độc lập)
az identity create \
  --name $MI_NAME \
  --resource-group $RG \
  --location $LOCATION

# Lấy thông tin MI
MI_CLIENT_ID=$(az identity show \
  --name $MI_NAME \
  --resource-group $RG \
  --query clientId -o tsv)

MI_OBJECT_ID=$(az identity show \
  --name $MI_NAME \
  --resource-group $RG \
  --query principalId -o tsv)

MI_RESOURCE_ID=$(az identity show \
  --name $MI_NAME \
  --resource-group $RG \
  --query id -o tsv)

echo "MI Client ID:    $MI_CLIENT_ID"
echo "MI Object ID:    $MI_OBJECT_ID"
echo "MI Resource ID:  $MI_RESOURCE_ID"

# Tạo Key Vault với RBAC model và TLS 1.2 minimum
az keyvault create \
  --name $KV_NAME \
  --resource-group $RG \
  --location $LOCATION \
  --enable-rbac-authorization true \
  --sku standard \
  --enable-soft-delete true \
  --retention-days 7

KV_ID=$(az keyvault show --name $KV_NAME --query id -o tsv)
echo "Key Vault ID: $KV_ID"

# Gán quyền Secrets Officer cho user hiện tại để tạo secret
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)
az role assignment create \
  --assignee $CURRENT_USER \
  --role "Key Vault Secrets Officer" \
  --scope $KV_ID

# Tạo secret
sleep 15
az keyvault secret set \
  --vault-name $KV_NAME \
  --name "api-key" \
  --value "sk-lab18-supersecret-2026"

# Tạo App Service Plan (Linux, Free tier)
az appservice plan create \
  --name $APP_PLAN \
  --resource-group $RG \
  --location $LOCATION \
  --is-linux \
  --sku F1

# Tạo Web App Python 3.11
az webapp create \
  --name $APP_NAME \
  --resource-group $RG \
  --plan $APP_PLAN \
  --runtime "PYTHON:3.11"

echo "Web App URL: https://$APP_NAME.azurewebsites.net"

# Gán user-assigned MI cho App Service
az webapp identity assign \
  --resource-group $RG \
  --name $APP_NAME \
  --identities $MI_RESOURCE_ID

# Xác nhận MI đã được gán
az webapp identity show \
  --resource-group $RG \
  --name $APP_NAME \
  --query "{type:type, userAssignedIdentities:userAssignedIdentities}" \
  --output json

# Gán Key Vault Secrets User cho MI (dùng Object ID của MI, không phải App Service)
az role assignment create \
  --assignee-object-id $MI_OBJECT_ID \
  --assignee-principal-type ServicePrincipal \
  --role "Key Vault Secrets User" \
  --scope $KV_ID

# Xác nhận
az role assignment list \
  --assignee $MI_OBJECT_ID \
  --scope $KV_ID \
  --query "[].{Role:roleDefinitionName, Principal:principalName, Scope:scope}" \
  --output table

# === Chạy bên trong App Service (Kudu Bash / SSH) ===

# Lấy token — PHẢI chỉ định client_id của user-assigned MI
# (nếu không App Service không biết dùng MI nào)
MI_CLIENT_ID="PASTE_CLIENT_ID_HERE"  # Thay bằng Client ID thực từ bước 1
KV_NAME="kv-az500-lab18-XXXXX"       # Thay bằng KV name thực

TOKEN=$(curl -s \
  "http://169.254.169.254/metadata/identity/oauth2/token?\
api-version=2018-02-01&\
resource=https%3A%2F%2Fvault.azure.net&\
client_id=$MI_CLIENT_ID" \
  -H "Metadata: true" | python3 -c "import sys,json; print(json.load(sys.stdin)['access_token'])")

echo "Token obtained: ${TOKEN:0:30}..."

# Đọc secret "api-key" từ Key Vault
SECRET=$(curl -s \
  "https://$KV_NAME.vault.azure.net/secrets/api-key?api-version=7.4" \
  -H "Authorization: Bearer $TOKEN" | \
  python3 -c "import sys,json; print(json.load(sys.stdin)['value'])")

echo "Secret value: $SECRET"

# Lấy Secret URI từ Key Vault
SECRET_URI=$(az keyvault secret show \
  --vault-name $KV_NAME \
  --name "api-key" \
  --query id -o tsv)

echo "Secret URI: $SECRET_URI"

# Cấu hình App Setting dùng Key Vault Reference syntax
# App Service tự động resolve @Microsoft.KeyVault(...) lúc runtime
az webapp config appsettings set \
  --resource-group $RG \
  --name $APP_NAME \
  --settings "[email protected](SecretUri=$SECRET_URI)"

# Xác nhận App Setting đã set
az webapp config appsettings list \
  --resource-group $RG \
  --name $APP_NAME \
  --query "[?name=='API_KEY']" \
  --output table

# App sẽ đọc os.environ['API_KEY'] và nhận giá trị thực của secret
# Không cần code gọi IMDS — platform tự lo