Encryption at Host — Mã Hóa Từ Lớp Hypervisor

# Đăng ký feature EncryptionAtHost (chỉ cần làm 1 lần trên subscription)
az feature register \
  --namespace Microsoft.Compute \
  --name EncryptionAtHost

# Kiểm tra trạng thái đăng ký (đợi state = Registered, có thể mất 5-10 phút)
az feature show \
  --namespace Microsoft.Compute \
  --name EncryptionAtHost \
  --query "{name:name, state:properties.state}" -o table

# Re-register provider sau khi feature registered
az provider register --namespace Microsoft.Compute

# Tạo resource group
az group create \
  --name rg-az500-lab34 \
  --location southeastasia \
  --tags "lab=34" "course=az500"

# Tạo VM mới với Encryption at Host bật từ đầu
az vm create \
  --resource-group rg-az500-lab34 \
  --name vm-az500-lab34-new \
  --image Ubuntu2204 \
  --size Standard_D2s_v3 \
  --admin-username azureadmin \
  --generate-ssh-keys \
  --encryption-at-host true \
  --public-ip-address "" \
  --location southeastasia

# Xác nhận Encryption at Host đã bật
az vm show \
  --resource-group rg-az500-lab34 \
  --name vm-az500-lab34-new \
  --query "securityProfile.encryptionAtHost" -o tsv

# Tạo VM thứ hai để test update (không có encryption at host)
az vm create \
  --resource-group rg-az500-lab34 \
  --name vm-az500-lab34-upd \
  --image Ubuntu2204 \
  --size Standard_D2s_v3 \
  --admin-username azureadmin \
  --generate-ssh-keys \
  --public-ip-address "" \
  --location southeastasia

# Xác nhận chưa bật
az vm show -g rg-az500-lab34 -n vm-az500-lab34-upd \
  --query "securityProfile.encryptionAtHost" -o tsv
# Kết quả: null hoặc false

# DEALLOCATE VM (bắt buộc, không phải chỉ Stop)
az vm deallocate \
  --resource-group rg-az500-lab34 \
  --name vm-az500-lab34-upd

# Bật Encryption at Host trên VM đang deallocated
az vm update \
  --resource-group rg-az500-lab34 \
  --name vm-az500-lab34-upd \
  --set securityProfile.encryptionAtHost=true

# Start VM lại
az vm start \
  --resource-group rg-az500-lab34 \
  --name vm-az500-lab34-upd

# Xác nhận đã bật
az vm show -g rg-az500-lab34 -n vm-az500-lab34-upd \
  --query "securityProfile.encryptionAtHost" -o tsv
# Kết quả: true

# Kiểm tra encryption settings của OS disk
az disk show \
  --resource-group rg-az500-lab34 \
  --name $(az vm show -g rg-az500-lab34 -n vm-az500-lab34-new \
    --query "storageProfile.osDisk.name" -o tsv) \
  --query "{name:name, encryption:encryption.type, diskState:diskState}" -o table

# Liệt kê tất cả disks trong RG với trạng thái mã hóa
az disk list \
  --resource-group rg-az500-lab34 \
  --query "[].{name:name, encryptionType:encryption.type, diskState:diskState}" \
  -o table

# Xem security profile của cả hai VM
for VM in vm-az500-lab34-new vm-az500-lab34-upd; do
  echo "=== $VM ==="
  az vm show -g rg-az500-lab34 -n $VM \
    --query "{name:name, encryptionAtHost:securityProfile.encryptionAtHost}" -o table
done