docs: Phase 3 sealing pipeline closed (Azure consumer + Entra scan)

ENCRYPTION-BRIEFING.md sec 11.2 + summary banner now reflect that the
`Functions/Triggers/SealedBatchConsumerFunction` and
`Functions/Triggers/EntraScanFunction` are implemented, deployed, and
verified on dev3 (commit 3c53d39): `az functionapp function list`
reports both functions, App Insights shows zero startup exceptions.

The two residual blockers are operational, not code:
- HybridAgent producer needs `appsettings.json` populated on-prem
  (KV URI + SealedBatch SB FQDN) and its SP assigned as
  `hybridAgentPrincipalId` in `main.bicep` so it gets the
  `encrypt`-only role on `blkmon-agent-seal` and the Sender role
  on queue `dek-sealed-batches`.
- Microsoft Graph application permissions (`Device.Read.All` +
  `BitlockerKey.ReadBasic.All`) on `mi-func` require admin consent
  in the tenant before `EntraScan` returns data.

AZURE-PHASE3-ROADMAP.md gets a status banner up top + table rows
updated. ENCRYPTION-BRIEFING.pdf regenerated from the new source.

Co-authored-by: Copilot <223556219+Copilot@users.noreply.github.com>

Author: robgrame

docs/AZURE-PHASE3-ROADMAP.md

@@ -1,8 +1,19 @@
 # Azure Phase 3 — Roadmap di completamento
 
+> **STATO AL 2026-06-09 (post-implementazione): ✅ chiusa lato cloud.**
+> La pipeline `HybridAgent producer → Service Bus → SealedBatchConsumerFunction → Azure SQL`
+> e la `EntraScanFunction` timer-driven sono state implementate, committate (commit
+> `3c53d39`), deployate su `dev3` e verificate (`az functionapp function list` →
+> 2 funzioni `EntraScan` + `SealedBatchConsumer`, zero eccezioni di startup in
+> App Insights). Unici task residui: (a) deploy operativo dell'HybridAgent su
+> almeno un server on-prem (servizio Windows con `appsettings.json` valorizzato,
+> + assegnazione SP come `hybridAgentPrincipalId` su `main.bicep`) e (b)
+> admin-consent delle permission Graph sulla MI `mi-func`. Tutto il codice
+> applicativo Azure-side è in produzione.
+
 > Generato il 2026-06-09 dopo la segnalazione _"sembra che l'hybrid worker non
 > faccia mai la scansione su AD, e nemmeno la function faccia la scansione su
-> Entra"_. Conferma: la segnalazione è corretta. Questo documento è
+> Entra"_. Conferma: la segnalazione era corretta. Questo documento è
 > l'**unica** roadmap di riferimento per portare la pipeline di scansione
 > Azure-side in produzione.
 
@@ -14,22 +25,25 @@
 | Infra Bicep (Key Vault, App Config, SQL, Service Bus, Functions host) | ✅ Deployata | `Deploy-Azure.ps1 -EnvironmentName dev3` 33 risorse |
 | `KeyVaultKekProvider` + `DekSealingService` (Functions) | ✅ Codice + DI | `Functions/Program.cs:65-90` |
 | `HybridAgent.AdScanProducerJob` (Quartz job, seal & send) | ✅ Codice presente | `HybridAgent/Jobs/AdScanProducerJob.cs` |
-| `HybridAgent.SealedBatchProcessor` (BackgroundService consumer SB) | ✅ Codice presente | `HybridAgent/Security/SealedBatchProcessor.cs` |
+| `HybridAgent.SealedBatchProcessor` (BackgroundService consumer SB) | ✅ Codice presente (usato solo per testing on-prem ↔ on-prem; in produzione il consumer è la Function Azure-side) | `HybridAgent/Security/SealedBatchProcessor.cs` |
 | HybridAgent deployato su qualche server on-prem | ❓ **Da verificare con l'operatore** | Nessun deployment tracciato in `.azure/plan.md` |
 | HybridAgent `appsettings.json` valorizzato (`Encryption:KeyVault:Uri`, `SealedBatch:ServiceBusFullyQualifiedNamespace`) | ❌ Vuoti nei file committati | `HybridAgent/appsettings.json` |
-| Functions: classi `[Function]` (TimerTrigger, ServiceBusTrigger) | ❌ **Zero funzioni esistono** | `az functionapp function list -g rg-blkmon-dev3-italynorth -n func-blkmon-nsewij464oblc -o table` ⇒ `[]` |
-| Functions Entra scanner (TimerTrigger) | ❌ Non implementato | Manca classe `EntraScanFunction` |
-| Functions SB consumer per sealed batch da AD | ❌ Non implementato | Manca classe `SealedBatchConsumerFunction` |
+| Functions: classi `[Function]` (TimerTrigger, ServiceBusTrigger) | ✅ **2 funzioni live** | `az functionapp function list -g rg-blkmon-dev3-italynorth -n func-blkmon-nsewij464oblc -o table` ⇒ `EntraScan` + `SealedBatchConsumer` (verificato 2026-06-09 commit `3c53d39`) |
+| Functions Entra scanner (TimerTrigger) | ✅ Implementato | `Functions/Triggers/EntraScanFunction.cs` |
+| Functions SB consumer per sealed batch da AD | ✅ Implementato | `Functions/Triggers/SealedBatchConsumerFunction.cs` + handler condivisi `Core/Security/SealedBatchHandler.cs` + `Core/Security/IDekUnsealingFacade.cs` |
 | Permessi Graph (`Device.Read.All`, `BitlockerKey.ReadBasic.All`) sul MI `mi-func` | ❌ Da concedere | Richiede admin consent del tenant |
 
 **Cosa significa in pratica:**
-- Nessuna scansione AD avviene oggi su nessun ambiente Azure, perché
-  l'HybridAgent — anche se compilato — gira solo in modalità heartbeat
-  (`AdScanProducerJob NOT scheduled` viene loggato all'avvio quando le due
-  config sono vuote) e, ammesso che venga deployato e configurato, non c'è
-  nessun consumer Service Bus lato Azure che persista i batch sigillati.
-- Nessuna scansione Entra avviene mai, perché il progetto Functions non
-  contiene **nessuna** classe annotata `[Function]` — l'host gira a vuoto.
+- La pipeline cloud è **completa e in attesa di input dall'on-prem**.
+  Appena il primo HybridAgent viene deployato con SP assegnata come
+  `hybridAgentPrincipalId` su `main.bicep` (così riceve i ruoli `Key Vault Crypto User`
+  scope-`encrypt-only` su `blkmon-agent-seal` + `Service Bus Data Sender` su
+  queue `dek-sealed-batches`) e `appsettings.json` popolato, i batch sigillati
+  iniziano a fluire e a essere persistiti su Azure SQL.
+- La scansione Entra parte automaticamente al primo trigger del CRON (default
+  ogni 6h) appena viene concesso l'admin-consent delle permission Graph.
+  Senza consent, l'host gira ma ogni chiamata Graph ritorna
+  `Authorization_RequestDenied`.
 
 ## 2. Architettura target (riepilogo)