Storage Account Firewall — Tắt Public Access & Kiểm Soát Network

# Tạo resource group
az group create \
  --name rg-az500-lab37 \
  --location southeastasia \
  --tags "lab=37" "module=az500-ch09"

# Tạo VNet
az network vnet create \
  --resource-group rg-az500-lab37 \
  --name vnet-az500-lab37 \
  --address-prefix 10.37.0.0/16 \
  --subnet-name snet-app-lab37 \
  --subnet-prefix 10.37.1.0/24

# Bật Service Endpoint cho Microsoft.Storage trên subnet
az network vnet subnet update \
  --resource-group rg-az500-lab37 \
  --vnet-name vnet-az500-lab37 \
  --name snet-app-lab37 \
  --service-endpoints Microsoft.Storage

# Xác nhận Service Endpoint đã bật
az network vnet subnet show \
  --resource-group rg-az500-lab37 \
  --vnet-name vnet-az500-lab37 \
  --name snet-app-lab37 \
  --query "serviceEndpoints[].service" \
  --output tsv

# Lấy subnet ID để dùng trong network rule
SUBNET_ID=$(az network vnet subnet show \
  --resource-group rg-az500-lab37 \
  --vnet-name vnet-az500-lab37 \
  --name snet-app-lab37 \
  --query id --output tsv)

# Tên storage phải unique, chỉ lowercase + số, 3–24 ký tự
STORAGE_NAME="staz500lab37$(shuf -i 1000-9999 -n 1)"
echo "Storage name: $STORAGE_NAME"

# Tạo Storage Account:
# --min-tls-version TLS1_2 = bắt buộc TLS 1.2
# --allow-blob-public-access false = tắt anonymous access
# --default-action Deny = chặn tất cả, chỉ mở theo rule
az storage account create \
  --resource-group rg-az500-lab37 \
  --name $STORAGE_NAME \
  --location southeastasia \
  --sku Standard_LRS \
  --kind StorageV2 \
  --min-tls-version TLS1_2 \
  --allow-blob-public-access false \
  --default-action Deny

# Thêm subnet vào network rule (Service Endpoint)
az storage account network-rule add \
  --resource-group rg-az500-lab37 \
  --account-name $STORAGE_NAME \
  --subnet $SUBNET_ID

# Whitelist IP public của bạn (thay YOUR_IP_ADDRESS)
MY_IP=$(curl -s https://api.ipify.org)
az storage account network-rule add \
  --resource-group rg-az500-lab37 \
  --account-name $STORAGE_NAME \
  --ip-address $MY_IP

# Xem network rules hiện tại
az storage account network-rule list \
  --resource-group rg-az500-lab37 \
  --account-name $STORAGE_NAME \
  --output table

# Lấy connection string (dùng account key — chỉ để test từ IP được whitelist)
CONN_STR=$(az storage account show-connection-string \
  --resource-group rg-az500-lab37 \
  --name $STORAGE_NAME \
  --query connectionString --output tsv)

# Tạo container với private access
az storage container create \
  --name test-data \
  --connection-string "$CONN_STR" \
  --public-access off

# Upload file test
echo "AZ-500 Lab 37 - Storage Firewall Test" > /tmp/lab37-test.txt
az storage blob upload \
  --container-name test-data \
  --name lab37-test.txt \
  --file /tmp/lab37-test.txt \
  --connection-string "$CONN_STR"

# Thử download từ IP được whitelist (nên thành công)
az storage blob download \
  --container-name test-data \
  --name lab37-test.txt \
  --file /tmp/downloaded.txt \
  --connection-string "$CONN_STR"
echo "Download thành công:"
cat /tmp/downloaded.txt

# Xem blob URL (truy cập trực tiếp sẽ bị 403 do anonymous disabled)
az storage blob url \
  --container-name test-data \
  --name lab37-test.txt \
  --connection-string "$CONN_STR"

# Xem toàn bộ cấu hình network của Storage Account
az storage account show \
  --resource-group rg-az500-lab37 \
  --name $STORAGE_NAME \
  --query "{
    minTlsVersion: minimumTlsVersion,
    allowBlobPublicAccess: allowBlobPublicAccess,
    defaultAction: networkRuleSet.defaultAction,
    bypass: networkRuleSet.bypass
  }" \
  --output json

# Xem danh sách IP rules
az storage account network-rule list \
  --resource-group rg-az500-lab37 \
  --account-name $STORAGE_NAME \
  --query "ipRules[].{IP:ipAddressOrRange, Action:action}" \
  --output table

# Xem danh sách VNet rules
az storage account network-rule list \
  --resource-group rg-az500-lab37 \
  --account-name $STORAGE_NAME \
  --query "virtualNetworkRules[].{VNet:virtualNetworkResourceId, Action:action}" \
  --output table

# Thử xóa IP rule (giả lập nguồn bị chặn) — lệnh tiếp theo sẽ fail
az storage account network-rule remove \
  --resource-group rg-az500-lab37 \
  --account-name $STORAGE_NAME \
  --ip-address $MY_IP

# Đợi propagation ~30 giây rồi thử list blobs — sẽ nhận AuthorizationFailure
sleep 30
az storage blob list \
  --container-name test-data \
  --connection-string "$CONN_STR" \
  --output table 2>&1 | head -5

# Thêm lại IP
az storage account network-rule add \
  --resource-group rg-az500-lab37 \
  --account-name $STORAGE_NAME \
  --ip-address $MY_IP