Just-in-Time VM Access — Mở Port Theo Yêu Cầu

# Tạo resource group và VM với public IP và NSG
az group create --name rg-az500-lab33 --location southeastasia

az vm create \
  --resource-group rg-az500-lab33 \
  --name vm-az500-lab33 \
  --image Win2022AzureEditionCore \
  --size Standard_B2s \
  --admin-username azureadmin \
  --admin-password "P@ssw0rd!Az500Lab33" \
  --location southeastasia \
  --nsg nsg-az500-lab33 \
  --nsg-rule RDP

# Bật Defender for Servers (Plan 1) trên subscription
SUBSCRIPTION_ID=$(az account show --query id -o tsv)
az security pricing create \
  --name VirtualMachines \
  --tier Standard \
  --subscription $SUBSCRIPTION_ID

# Xác nhận Defender for Servers đã bật
az security pricing show --name VirtualMachines \
  --query "{name:name, tier:pricingTier}" -o table

# Lấy VM resource ID
VM_ID=$(az vm show -g rg-az500-lab33 -n vm-az500-lab33 --query id -o tsv)
LOCATION="southeastasia"

# Tạo JIT policy cho VM (port 3389 và 22)
az security jit-policy create \
  --location $LOCATION \
  --name default \
  --resource-group rg-az500-lab33 \
  --virtual-machines "[
    {
      \"id\": \"$VM_ID\",
      \"ports\": [
        {
          \"number\": 3389,
          \"protocol\": \"TCP\",
          \"allowedSourceAddressPrefix\": \"*\",
          \"maxRequestAccessDuration\": \"PT3H\"
        },
        {
          \"number\": 22,
          \"protocol\": \"TCP\",
          \"allowedSourceAddressPrefix\": \"*\",
          \"maxRequestAccessDuration\": \"PT3H\"
        }
      ]
    }
  ]"

# Xác nhận JIT policy đã được tạo
az security jit-policy show \
  --location $LOCATION \
  --name default \
  --resource-group rg-az500-lab33 \
  --query "virtualMachines[0].ports" -o table

# Lấy IP công cộng của máy bạn
MY_IP=$(curl -s https://api.ipify.org)
echo "My public IP: $MY_IP"

VM_ID=$(az vm show -g rg-az500-lab33 -n vm-az500-lab33 --query id -o tsv)

# Request JIT access (mở port 3 giờ từ IP của bạn)
az security jit-policy initiate \
  --location southeastasia \
  --name default \
  --resource-group rg-az500-lab33 \
  --virtual-machines "[
    {
      \"id\": \"$VM_ID\",
      \"ports\": [
        {
          \"number\": 3389,
          \"duration\": \"PT3H\",
          \"allowedSourceAddressPrefix\": \"$MY_IP\"
        }
      ]
    }
  ]"

# Kiểm tra NSG rule được tạo tự động
NSG_NAME=$(az network nsg list -g rg-az500-lab33 --query "[0].name" -o tsv)
az network nsg rule list -g rg-az500-lab33 --nsg-name $NSG_NAME \
  --query "[?destinationPortRange=='3389'].{name:name, access:access, sourceAddr:sourceAddressPrefix}" \
  -o table

# Xem JIT access request history qua Activity Log
az monitor activity-log list \
  --resource-group rg-az500-lab33 \
  --start-time $(date -u -d "1 hour ago" '+%Y-%m-%dT%H:%M:%SZ') \
  --query "[?operationName.value=='Microsoft.Security/locations/jitNetworkAccessPolicies/initiate/action'].{time:eventTimestamp, caller:caller, status:status.value}" \
  -o table

# Xem NSG rules hiện tại — rule JIT có prefix SecurityCenter
NSG_NAME=$(az network nsg list -g rg-az500-lab33 --query "[0].name" -o tsv)
az network nsg rule list -g rg-az500-lab33 --nsg-name $NSG_NAME \
  --query "[].{name:name, priority:priority, access:access, port:destinationPortRange, source:sourceAddressPrefix}" \
  -o table