User Delegation SAS — Entra ID Thay Thế Account Key

# Tạo resource group và storage
az group create --name rg-az500-lab38 --location southeastasia
STORAGE_NAME="staz500lab38$(shuf -i 1000-9999 -n 1)"
echo "Storage: $STORAGE_NAME"

az storage account create \
  --resource-group rg-az500-lab38 \
  --name $STORAGE_NAME \
  --location southeastasia \
  --sku Standard_LRS \
  --kind StorageV2 \
  --min-tls-version TLS1_2 \
  --allow-blob-public-access false

# Lấy storage account resource ID
STORAGE_ID=$(az storage account show \
  --resource-group rg-az500-lab38 \
  --name $STORAGE_NAME \
  --query id --output tsv)

# Lấy user object ID hiện tại
USER_OID=$(az ad signed-in-user show --query id --output tsv)
echo "User OID: $USER_OID"

# Gán Storage Blob Data Contributor (cần thiết để tạo User Delegation SAS)
# Role ID cố định: ba92f5b4-2d11-453d-a403-e96b0029c9fe
az role assignment create \
  --assignee $USER_OID \
  --role "Storage Blob Data Contributor" \
  --scope "$STORAGE_ID/blobServices/default/containers/sas-demo"

# Tạo container (dùng --auth-mode login sau khi RBAC propagate ~1 phút)
az storage container create \
  --name sas-demo \
  --account-name $STORAGE_NAME \
  --auth-mode login \
  --public-access off

# Upload blob test (dùng Entra ID auth, không dùng account key)
echo "Lab 38 - User Delegation SAS Test Data" > /tmp/lab38-data.txt
az storage blob upload \
  --container-name sas-demo \
  --name lab38-data.txt \
  --file /tmp/lab38-data.txt \
  --account-name $STORAGE_NAME \
  --auth-mode login

# Tạo User Delegation SAS cho blob (quyền Read, 2 giờ)
# --as-user = dùng user delegation key từ Entra ID (KHÔNG dùng account key)
# --permissions r = read only
EXPIRY=$(date -u -d '+2 hours' '+%Y-%m-%dT%H:%MZ' 2>/dev/null || \
         date -u -v+2H '+%Y-%m-%dT%H:%MZ')

SAS_TOKEN=$(az storage blob generate-sas \
  --container-name sas-demo \
  --name lab38-data.txt \
  --account-name $STORAGE_NAME \
  --permissions r \
  --expiry $EXPIRY \
  --as-user \
  --auth-mode login \
  --output tsv)

echo "SAS Token: $SAS_TOKEN"

# Tạo URL đầy đủ
BLOB_URL="https://${STORAGE_NAME}.blob.core.windows.net/sas-demo/lab38-data.txt?${SAS_TOKEN}"
echo "Blob SAS URL: $BLOB_URL"

# Test download bằng SAS URL (không cần account key hay credential)
curl -s "$BLOB_URL"

# Xác nhận SAS token chứa 'skoid' (user object ID) — dấu hiệu là User Delegation SAS
echo "$SAS_TOKEN" | tr '&' '\n' | grep -E "^sk"

# Tạo SAS chỉ có quyền Read để test giới hạn quyền
SAS_READ_ONLY=$(az storage blob generate-sas \
  --container-name sas-demo \
  --name lab38-data.txt \
  --account-name $STORAGE_NAME \
  --permissions r \
  --expiry $EXPIRY \
  --as-user \
  --auth-mode login \
  --output tsv)

# Thử DELETE bằng SAS read-only → sẽ thất bại với 403
DELETE_URL="https://${STORAGE_NAME}.blob.core.windows.net/sas-demo/lab38-data.txt?${SAS_READ_ONLY}"
curl -s -X DELETE "$DELETE_URL" | head -5
# Kết quả: AuthorizationPermissionMismatch

# Tạo Container SAS với quyền list+read cho container (không phải blob cụ thể)
SAS_CONTAINER=$(az storage container generate-sas \
  --name sas-demo \
  --account-name $STORAGE_NAME \
  --permissions rl \
  --expiry $EXPIRY \
  --as-user \
  --auth-mode login \
  --output tsv)

# List blobs bằng Container SAS
LIST_URL="https://${STORAGE_NAME}.blob.core.windows.net/sas-demo?restype=container&comp=list&${SAS_CONTAINER}"
curl -s "$LIST_URL" | python3 -c "import sys; import xml.dom.minidom; print(xml.dom.minidom.parseString(sys.stdin.read()).toprettyxml())" 2>/dev/null || curl -s "$LIST_URL"

# REVOKE: xóa RBAC assignment → vô hiệu tất cả User Delegation SAS của user này
ASSIGNMENT_ID=$(az role assignment list \
  --assignee $USER_OID \
  --scope "$STORAGE_ID/blobServices/default/containers/sas-demo" \
  --query "[0].id" --output tsv)
az role assignment delete --ids $ASSIGNMENT_ID

# Sau khi revoke, SAS cũ sẽ trả về 403 AuthorizationFailed
sleep 60  # đợi propagation
curl -s "$BLOB_URL" | head -3