Bảo Mật AKS — Entra ID, Azure RBAC & Network Policy

# Tạo resource group
az group create --name rg-az500-lab35 --location southeastasia

# Tạo Log Analytics Workspace cho Container Insights
az monitor log-analytics workspace create \
  --resource-group rg-az500-lab35 \
  --workspace-name law-az500-lab35 \
  --location southeastasia

LAW_ID=$(az monitor log-analytics workspace show \
  --resource-group rg-az500-lab35 \
  --workspace-name law-az500-lab35 \
  --query id -o tsv)

# Tạo AKS cluster với:
# - Microsoft Entra integration (--enable-aad)
# - Azure RBAC for Kubernetes (--enable-azure-rbac)
# - Network policy Calico (--network-policy calico)
# - Container Insights (--enable-addons monitoring)
az aks create \
  --resource-group rg-az500-lab35 \
  --name aks-az500-lab35 \
  --location southeastasia \
  --node-count 2 \
  --node-vm-size Standard_B2s \
  --enable-aad \
  --enable-azure-rbac \
  --network-plugin azure \
  --network-policy calico \
  --enable-addons monitoring \
  --workspace-resource-id $LAW_ID \
  --generate-ssh-keys

# Xác nhận cluster đã tạo thành công
az aks show \
  --resource-group rg-az500-lab35 \
  --name aks-az500-lab35 \
  --query "{name:name, state:provisioningState, aadProfile:aadProfile, networkProfile:networkProfile.networkPolicy}" \
  -o table

# Lấy AKS resource ID
AKS_ID=$(az aks show -g rg-az500-lab35 -n aks-az500-lab35 --query id -o tsv)

# Lấy user ID hiện tại
MY_ID=$(az ad signed-in-user show --query id -o tsv)

# Gán Azure Kubernetes Service RBAC Cluster Admin cho user hiện tại
az role assignment create \
  --role "Azure Kubernetes Service RBAC Cluster Admin" \
  --assignee $MY_ID \
  --scope $AKS_ID

# Lấy kubeconfig (--overwrite-existing để ghi đè nếu đã có)
az aks get-credentials \
  --resource-group rg-az500-lab35 \
  --name aks-az500-lab35 \
  --overwrite-existing

# Kiểm tra kết nối (sẽ yêu cầu đăng nhập Entra ID lần đầu)
kubectl get nodes
kubectl get namespaces

# Tạo hai namespace để test network policy
kubectl create namespace ns-frontend
kubectl create namespace ns-backend

# Deploy pod test trong mỗi namespace
kubectl run frontend-pod \
  --image=nginx \
  --namespace=ns-frontend \
  --labels="app=frontend"

kubectl run backend-pod \
  --image=nginx \
  --namespace=ns-backend \
  --labels="app=backend"

# Đợi pods running
kubectl get pods -n ns-frontend
kubectl get pods -n ns-backend

# Tạo NetworkPolicy: chỉ cho phép ns-frontend truy cập ns-backend
# Mặc định deny all ingress cho ns-backend
cat <