एपीआई के माध्यम से पावरशेल से Google उपयोगकर्ता बनाना

हाय!

यह आलेख G Suite उपयोगकर्ताओं में हेरफेर करने के लिए Google API के साथ PowerShell इंटरैक्शन के कार्यान्वयन का वर्णन करेगा।

हम पूरे संगठन में कई आंतरिक और क्लाउड सेवाओं का उपयोग करते हैं। अधिकांश भाग के लिए, उनमें प्राधिकरण Google या सक्रिय निर्देशिका के पास आता है, जिसके बीच हम एक प्रतिकृति बनाए नहीं रख सकते हैं; तदनुसार, जब कोई नया कर्मचारी निकलता है, तो आपको इन दोनों प्रणालियों में एक खाता बनाने/सक्षम करने की आवश्यकता होती है। प्रक्रिया को स्वचालित करने के लिए, हमने एक स्क्रिप्ट लिखने का निर्णय लिया जो जानकारी एकत्र करती है और इसे दोनों सेवाओं को भेजती है।

प्राधिकरण

आवश्यकताओं को तैयार करते समय, हमने प्राधिकरण के लिए वास्तविक मानव प्रशासकों का उपयोग करने का निर्णय लिया; यह आकस्मिक या जानबूझकर बड़े पैमाने पर परिवर्तनों की स्थिति में कार्यों के विश्लेषण को सरल बनाता है।

Google API प्रमाणीकरण और प्राधिकरण के लिए OAuth 2.0 प्रोटोकॉल का उपयोग करते हैं। उपयोग के मामले और अधिक विस्तृत विवरण यहां पाए जा सकते हैं: Google API तक पहुँचने के लिए OAuth 2.0 का उपयोग करना.

मैंने वह स्क्रिप्ट चुनी जिसका उपयोग डेस्कटॉप अनुप्रयोगों में प्राधिकरण के लिए किया जाता है। सेवा खाते का उपयोग करने का एक विकल्प भी है, जिसके लिए उपयोगकर्ता को अनावश्यक गतिविधियों की आवश्यकता नहीं होती है।

नीचे दी गई तस्वीर Google पृष्ठ से चयनित परिदृश्य का एक योजनाबद्ध विवरण है।

1. सबसे पहले, हम GET पैरामीटर निर्दिष्ट करते हुए उपयोगकर्ता को Google खाता प्रमाणीकरण पृष्ठ पर भेजते हैं:
   • आवेदन पहचान पत्र
   • वे क्षेत्र जहां एप्लिकेशन को पहुंच की आवश्यकता है
   • वह पता जिस पर प्रक्रिया पूरी करने के बाद उपयोगकर्ता को पुनः निर्देशित किया जाएगा
   • जिस तरह से हम टोकन को अपडेट करेंगे
   • सुरक्षा कोड
   • सत्यापन कोड ट्रांसमिशन प्रारूप

2. प्राधिकरण पूरा होने के बाद, उपयोगकर्ता को GET मापदंडों द्वारा पारित एक त्रुटि या प्राधिकरण कोड के साथ, पहले अनुरोध में निर्दिष्ट पृष्ठ पर पुनः निर्देशित किया जाएगा।
3. एप्लिकेशन (स्क्रिप्ट) को इन मापदंडों को प्राप्त करने की आवश्यकता होगी और, यदि कोड प्राप्त हुआ है, तो टोकन प्राप्त करने के लिए निम्नलिखित अनुरोध करें
4. यदि अनुरोध सही है, तो Google API लौटाता है:
   • एक्सेस टोकन जिसके साथ हम अनुरोध कर सकते हैं
   • इस टोकन की वैधता अवधि
   • एक्सेस टोकन को रीफ्रेश करने के लिए रीफ्रेश टोकन आवश्यक है।

सबसे पहले आपको Google API कंसोल पर जाना होगा: क्रेडेंशियल - Google API कंसोल, वांछित एप्लिकेशन का चयन करें और क्रेडेंशियल अनुभाग में एक क्लाइंट OAuth पहचानकर्ता बनाएं। वहां (या बाद में, बनाए गए पहचानकर्ता के गुणों में) आपको उन पते को निर्दिष्ट करने की आवश्यकता है जिन पर पुनर्निर्देशन की अनुमति है। हमारे मामले में, ये विभिन्न पोर्ट के साथ कई लोकलहोस्ट प्रविष्टियाँ होंगी (नीचे देखें)।

स्क्रिप्ट एल्गोरिदम को पढ़ना अधिक सुविधाजनक बनाने के लिए, आप पहले चरणों को एक अलग फ़ंक्शन में प्रदर्शित कर सकते हैं जो एप्लिकेशन के लिए एक्सेस और रीफ्रेश टोकन लौटाएगा:

$client_secret = 'Our Client Secret'
$client_id = 'Our Client ID'
function Get-GoogleAuthToken {
  if (-not [System.Net.HttpListener]::IsSupported) {
    "HttpListener is not supported."
    exit 1
  }
  $codeverifier = -join ((65..90) + (97..122) + (48..57) + 45 + 46 + 95 + 126 |Get-Random -Count 60| % {[char]$_})
  $hasher = new-object System.Security.Cryptography.SHA256Managed
  $hashByteArray = $hasher.ComputeHash([System.Text.Encoding]::UTF8.GetBytes($codeverifier))
  $base64 = ((([System.Convert]::ToBase64String($hashByteArray)).replace('=','')).replace('+','-')).replace('/','_')
  $ports = @(10600,15084,39700,42847,65387,32079)
  $port = $ports[(get-random -Minimum 0 -maximum 5)]
  Write-Host "Start browser..."
  Start-Process "https://accounts.google.com/o/oauth2/v2/auth?code_challenge_method=S256&code_challenge=$base64&access_type=offline&client_id=$client_id&redirect_uri=http://localhost:$port&response_type=code&scope=https://www.googleapis.com/auth/admin.directory.user https://www.googleapis.com/auth/admin.directory.group"
  $listener = New-Object System.Net.HttpListener
  $listener.Prefixes.Add("http://localhost:"+$port+'/')
  try {$listener.Start()} catch {
    "Unable to start listener."
    exit 1
  }
  while (($code -eq $null)) {
    $context = $listener.GetContext()
    Write-Host "Connection accepted" -f 'mag'
    $url = $context.Request.RawUrl
    $code = $url.split('?')[1].split('=')[1].split('&')[0]
    if ($url.split('?')[1].split('=')[0] -eq 'error') {
      Write-Host "Error!"$code -f 'red'
      $buffer = [System.Text.Encoding]::UTF8.GetBytes("Error!"+$code)
      $context.Response.ContentLength64 = $buffer.Length
      $context.Response.OutputStream.Write($buffer, 0, $buffer.Length)
      $context.Response.OutputStream.Close()
      $listener.Stop()
      exit 1
    }
    $buffer = [System.Text.Encoding]::UTF8.GetBytes("Now you can close this browser tab.")
    $context.Response.ContentLength64 = $buffer.Length
    $context.Response.OutputStream.Write($buffer, 0, $buffer.Length)
    $context.Response.OutputStream.Close()
    $listener.Stop()
  }
  Return Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/oauth2/v4/token" -Body @{
    code = $code
    client_id = $client_id
    client_secret = $client_secret
    redirect_uri = 'http://localhost:'+$port
    grant_type = 'authorization_code'
    code_verifier   = $codeverifier
  }
  $code = $null

हम OAuth क्लाइंट पहचानकर्ता गुणों में प्राप्त क्लाइंट आईडी और क्लाइंट सीक्रेट सेट करते हैं, और कोड सत्यापनकर्ता 43 से 128 वर्णों की एक स्ट्रिंग है जिसे अनारक्षित वर्णों से यादृच्छिक रूप से उत्पन्न किया जाना चाहिए: [AZ] / [az] / [0-9 ] / "-" / "।" / "_" / "~"।

यह कोड फिर से प्रसारित किया जाएगा। यह उस भेद्यता को समाप्त करता है जिसमें एक हमलावर उपयोगकर्ता प्राधिकरण के बाद रीडायरेक्ट के रूप में लौटाई गई प्रतिक्रिया को रोक सकता है।
आप वर्तमान अनुरोध में स्पष्ट पाठ में एक कोड सत्यापनकर्ता भेज सकते हैं (जो इसे अर्थहीन बनाता है - यह केवल उन सिस्टमों के लिए उपयुक्त है जो SHA256 का समर्थन नहीं करते हैं), या SHA256 एल्गोरिथ्म का उपयोग करके एक हैश बनाकर भेज सकते हैं, जिसे BASE64Url (अलग-अलग) में एन्कोड किया जाना चाहिए बेस64 से दो तालिका वर्णों द्वारा) और वर्ण पंक्ति के अंत को हटाना: =।

इसके बाद, हमें प्राधिकरण के बाद प्रतिक्रिया प्राप्त करने के लिए स्थानीय मशीन पर http सुनना शुरू करना होगा, जिसे रीडायरेक्ट के रूप में लौटाया जाएगा।

प्रशासनिक कार्य एक विशेष सर्वर पर किए जाते हैं, हम इस संभावना से इंकार नहीं कर सकते हैं कि कई प्रशासक एक ही समय में स्क्रिप्ट चलाएंगे, इसलिए यह वर्तमान उपयोगकर्ता के लिए यादृच्छिक रूप से एक पोर्ट का चयन करेगा, लेकिन मैंने पूर्वनिर्धारित पोर्ट निर्दिष्ट किए हैं क्योंकि उन्हें एपीआई कंसोल में विश्वसनीय के रूप में भी जोड़ा जाना चाहिए।

access_type=ऑफ़लाइन इसका मतलब है कि एप्लिकेशन ब्राउज़र के साथ उपयोगकर्ता की सहभागिता के बिना अपने आप समाप्त हो चुके टोकन को अपडेट कर सकता है,
प्रतिक्रिया_प्रकार = कोड कोड कैसे लौटाया जाएगा इसका प्रारूप निर्धारित करता है (पुरानी प्राधिकरण पद्धति का संदर्भ, जब उपयोगकर्ता ने ब्राउज़र से कोड को स्क्रिप्ट में कॉपी किया था),
क्षेत्र पहुंच के दायरे और प्रकार को इंगित करता है। उन्हें रिक्त स्थान या %20 (यूआरएल एन्कोडिंग के अनुसार) द्वारा अलग किया जाना चाहिए। प्रकारों सहित पहुंच क्षेत्रों की सूची यहां देखी जा सकती है: Google API के लिए OAuth 2.0 स्कोप.

प्राधिकरण कोड प्राप्त करने के बाद, एप्लिकेशन ब्राउज़र को एक बंद संदेश लौटाएगा, पोर्ट पर सुनना बंद कर देगा और टोकन प्राप्त करने के लिए एक POST अनुरोध भेजेगा। हम इसमें कंसोल एपीआई से पहले निर्दिष्ट आईडी और रहस्य, वह पता जिस पर उपयोगकर्ता को रीडायरेक्ट किया जाएगा और प्रोटोकॉल विनिर्देश के अनुसार अनुदान_प्रकार इंगित करते हैं।

जवाब में, हमें एक एक्सेस टोकन, सेकंड में इसकी वैधता अवधि और एक रिफ्रेश टोकन प्राप्त होगा, जिसके साथ हम एक्सेस टोकन को अपडेट कर सकते हैं।

एप्लिकेशन को लंबी शेल्फ लाइफ के साथ टोकन को एक सुरक्षित स्थान पर संग्रहीत करना होगा, इसलिए जब तक हम प्राप्त पहुंच को रद्द नहीं करते, एप्लिकेशन ताज़ा टोकन वापस नहीं करेगा। अंत में, मैंने टोकन को रद्द करने का अनुरोध जोड़ा; यदि एप्लिकेशन सफलतापूर्वक पूरा नहीं हुआ और ताज़ा टोकन वापस नहीं किया गया, तो यह प्रक्रिया फिर से शुरू हो जाएगी (हमने टर्मिनल पर स्थानीय रूप से टोकन संग्रहीत करना असुरक्षित माना, और हम ऐसा नहीं करते हैं) 'मैं क्रिप्टोग्राफी के साथ चीजों को जटिल नहीं बनाना चाहता या बार-बार ब्राउज़र खोलना नहीं चाहता)।

do {
  $token_result = Get-GoogleAuthToken
  $token = $token_result.access_token
  if ($token_result.refresh_token -eq $null) {
    Write-Host ("Session is not destroyed. Revoking token...")
    Invoke-WebRequest -Uri ("https://accounts.google.com/o/oauth2/revoke?token="+$token)
  }
} while ($token_result.refresh_token -eq $null)
$refresh_token = $token_result.refresh_token
$minute = ([int]("{0:mm}" -f ([timespan]::fromseconds($token_result.expires_in))))+((Get-date).Minute)-2
if ($minute -lt 0) {$minute += 60}
elseif ($minute -gt 59) {$minute -=60}
$token_expire = @{
  hour = ([int]("{0:hh}" -f ([timespan]::fromseconds($token_result.expires_in))))+((Get-date).Hour)
  minute = $minute
}

जैसा कि आपने पहले ही देखा है, किसी टोकन को रद्द करते समय, Invoke-WebRequest का उपयोग किया जाता है। Invoke-RestMethod के विपरीत, यह प्राप्त डेटा को प्रयोग करने योग्य प्रारूप में वापस नहीं करता है और अनुरोध की स्थिति दिखाता है।

इसके बाद, स्क्रिप्ट आपको उपयोगकर्ता का पहला और अंतिम नाम दर्ज करने के लिए कहती है, जिससे एक लॉगिन + ईमेल उत्पन्न होता है।

अनुरोध

अगले अनुरोध होंगे - सबसे पहले, आपको यह जांचना होगा कि नया लॉगिन बनाने या वर्तमान को सक्षम करने पर निर्णय लेने के लिए समान लॉगिन वाला उपयोगकर्ता पहले से मौजूद है या नहीं।

मैंने स्विच का उपयोग करके चयन के साथ एक फ़ंक्शन के प्रारूप में सभी अनुरोधों को लागू करने का निर्णय लिया:

function GoogleQuery {
  param (
    $type,
    $query
  )
  switch ($type) {
    "SearchAccount" {
      Return Invoke-RestMethod -Method Get -Uri "https://www.googleapis.com/admin/directory/v1/users" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body @{
        domain = 'rocketguys.com'
        query  = "email:$query"
      }
    }
    "UpdateAccount" {
      $body = @{
        name  = @{
          givenName = $query['givenName']
          familyName = $query['familyName']
        }
        suspended = 'false'
        password = $query['password']
        changePasswordAtNextLogin = 'true'
        phones = @(@{
          primary = 'true'
          value = $query['phone']
          type = "mobile"
        })
        orgUnitPath = $query['orgunit']
      }
      Return Invoke-RestMethod -Method Put -Uri ("https://www.googleapis.com/admin/directory/v1/users/"+$query['email']) -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
    }
    
    "CreateAccount" {
      $body = @{
        primaryEmail = $query['email']
        name  = @{
          givenName = $query['givenName']
          familyName = $query['familyName']
        }
        suspended = 'false'
        password = $query['password']
        changePasswordAtNextLogin = 'true'
        phones = @(@{
          primary = 'true'
          value = $query['phone']
          type = "mobile"
        })
        orgUnitPath = $query['orgunit']
      }
      Return Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/admin/directory/v1/users" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
    }
    "AddMember" {
      $body = @{
        userKey = $query['email']
      }
      $ifrequest = Invoke-RestMethod -Method Get -Uri "https://www.googleapis.com/admin/directory/v1/groups" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body $body
      $array = @()
      foreach ($group in $ifrequest.groups) {$array += $group.email}
      if ($array -notcontains $query['groupkey']) {
        $body = @{
          email = $query['email']
          role = "MEMBER"
        }
        Return Invoke-RestMethod -Method Post -Uri ("https://www.googleapis.com/admin/directory/v1/groups/"+$query['groupkey']+"/members") -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
      } else {
        Return ($query['email']+" now is a member of "+$query['groupkey'])
      }
    }
  }
}

प्रत्येक अनुरोध में, आपको एक प्राधिकरण हेडर भेजना होगा जिसमें टोकन प्रकार और एक्सेस टोकन शामिल हो। वर्तमान में, टोकन प्रकार हमेशा बियरर होता है। क्योंकि हमें यह जांचने की ज़रूरत है कि टोकन समाप्त नहीं हुआ है और जारी होने के एक घंटे बाद इसे अपडेट करें, मैंने एक अन्य फ़ंक्शन के लिए एक अनुरोध निर्दिष्ट किया है जो एक्सेस टोकन लौटाता है। पहला एक्सेस टोकन प्राप्त करते समय कोड का वही टुकड़ा स्क्रिप्ट की शुरुआत में होता है:

function Get-GoogleToken {
  if (((Get-date).Hour -gt $token_expire.hour) -or (((Get-date).Hour -ge $token_expire.hour) -and ((Get-date).Minute -gt $token_expire.minute))) {
  Write-Host "Token Expired. Refreshing..."
    $request = (Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/oauth2/v4/token" -ContentType 'application/x-www-form-urlencoded' -Body @{
      client_id = $client_id
      client_secret = $client_secret
      refresh_token = $refresh_token
      grant_type = 'refresh_token'
    })
    $token = $request.access_token
    $minute = ([int]("{0:mm}" -f ([timespan]::fromseconds($request.expires_in))))+((Get-date).Minute)-2
    if ($minute -lt 0) {$minute += 60}
    elseif ($minute -gt 59) {$minute -=60}
    $script:token_expire = @{
      hour = ([int]("{0:hh}" -f ([timespan]::fromseconds($request.expires_in))))+((Get-date).Hour)
      minute = $minute
    }
  }
  return $token
}

अस्तित्व के लिए लॉगिन की जाँच करना:

function Check_Google {
  $query = (GoogleQuery 'SearchAccount' $username)
  if ($query.users -ne $null) {
    $user = $query.users[0]
    Write-Host $user.name.fullName' - '$user.PrimaryEmail' - suspended: '$user.Suspended
    $GAresult = $user
  }
  if ($GAresult) {
      $return = $GAresult
  } else {$return = 'gg'}
  return $return
}

ईमेल:$क्वेरी अनुरोध एपीआई को उपनाम सहित बिल्कुल उसी ईमेल वाले उपयोगकर्ता की तलाश करने के लिए कहेगा। आप वाइल्डकार्ड का भी उपयोग कर सकते हैं: =, :, :{उपसर्ग}*.

डेटा प्राप्त करने के लिए, GET अनुरोध विधि का उपयोग करें, डेटा सम्मिलित करने के लिए (खाता बनाना या किसी समूह में सदस्य जोड़ना) - POST, मौजूदा डेटा को अद्यतन करने के लिए - PUT, किसी रिकॉर्ड को हटाने के लिए (उदाहरण के लिए, किसी समूह से कोई सदस्य) - का उपयोग करें मिटाना।

स्क्रिप्ट एक फ़ोन नंबर (एक अमान्य स्ट्रिंग) और क्षेत्रीय वितरण समूह में शामिल करने के लिए भी पूछेगी। यह चयनित सक्रिय निर्देशिका ओयू के आधार पर तय करता है कि उपयोगकर्ता के पास कौन सी संगठनात्मक इकाई होनी चाहिए और एक पासवर्ड के साथ आता है:

do {
  $phone = Read-Host "Телефон в формате +7хххххххх"
} while (-not $phone)
do {
    $moscow = Read-Host "В Московский офис? (y/n) "
} while (-not (($moscow -eq 'y') -or ($moscow -eq 'n')))
$orgunit = '/'
if ($OU -like "*OU=Delivery,OU=Users,OU=ROOT,DC=rocket,DC=local") {
    Write-host "Будет создана в /Team delivery"
    $orgunit = "/Team delivery"
}
$Password =  -join ( 48..57 + 65..90 + 97..122 | Get-Random -Count 12 | % {[char]$_})+"*Ba"

और फिर वह खाते में हेरफेर करना शुरू कर देता है:

$query = @{
  email = $email
  givenName = $firstname
  familyName = $lastname
  password = $password
  phone = $phone
  orgunit = $orgunit
}
if ($GMailExist) {
  Write-Host "Запускаем изменение аккаунта" -f mag
  (GoogleQuery 'UpdateAccount' $query) | fl
  write-host "Не забудь проверить группы у включенного $Username в Google."
} else {
  Write-Host "Запускаем создание аккаунта" -f mag
  (GoogleQuery 'CreateAccount' $query) | fl
}
if ($moscow -eq "y"){
  write-host "Добавляем в группу moscowoffice"
  $query = @{
    groupkey = '[email protected]'
    email = $email
  }
  (GoogleQuery 'AddMember' $query) | fl
}

खाता अपडेट करने और बनाने के कार्यों में एक समान वाक्यविन्यास होता है; सभी अतिरिक्त फ़ील्ड की आवश्यकता नहीं होती है; फ़ोन नंबर वाले अनुभाग में, आपको एक सरणी निर्दिष्ट करने की आवश्यकता होती है जिसमें संख्या और उसके प्रकार के साथ एक रिकॉर्ड तक हो सकता है।

किसी उपयोगकर्ता को समूह में जोड़ते समय कोई त्रुटि न हो, इसके लिए हम पहले उपयोगकर्ता से समूह के सदस्यों या रचना की सूची प्राप्त करके यह जांच सकते हैं कि वह पहले से ही इस समूह का सदस्य है या नहीं।

किसी विशिष्ट उपयोगकर्ता की समूह सदस्यता के बारे में पूछताछ करना पुनरावर्ती नहीं होगा और केवल प्रत्यक्ष सदस्यता दिखाएगा। किसी उपयोगकर्ता को ऐसे मूल समूह में शामिल करना जिसमें पहले से ही एक चाइल्ड समूह है जिसका उपयोगकर्ता सदस्य है, सफल होगा।

निष्कर्ष

जो कुछ बचा है वह उपयोगकर्ता को नए खाते के लिए पासवर्ड भेजना है। हम इसे एसएमएस के माध्यम से करते हैं, और निर्देशों के साथ सामान्य जानकारी भेजते हैं और एक व्यक्तिगत ईमेल पर लॉगिन करते हैं, जो एक फोन नंबर के साथ, भर्ती विभाग द्वारा प्रदान किया गया था। वैकल्पिक रूप से, आप पैसे बचा सकते हैं और अपना पासवर्ड गुप्त टेलीग्राम चैट पर भेज सकते हैं, जिसे दूसरा कारक भी माना जा सकता है (मैकबुक एक अपवाद होगा)।

अंत तक पढ़ने के लिए धन्यवाद. मुझे लेख लिखने की शैली में सुधार के लिए सुझाव देखकर खुशी होगी और मैं चाहता हूं कि स्क्रिप्ट लिखते समय आपको कम त्रुटियां पकड़ें =)

उन लिंकों की सूची जो विषयगत रूप से उपयोगी हो सकते हैं या केवल प्रश्नों का उत्तर दे सकते हैं:

• मोबाइल और डेस्कटॉप ऐप्स के लिए OAuth 2.0
• वेब सर्वर अनुप्रयोगों के लिए OAuth 2.0 का उपयोग करना
• OAuth सार्वजनिक ग्राहकों द्वारा कोड विनिमय के लिए प्रमाण कुंजी
• पॉवरशेल के साथ यादृच्छिक पत्र उत्पन्न करें
• ASCII तालिका और विवरण
• पॉवरशेल: एक स्ट्रिंग के लिए हैश मान प्राप्त करना
• बेस64यूआरएल को एनकोड/डीकोड करें
• बेस64 एन्कोडिंग बनाम बेस64यूआरएल एन्कोडिंग
• पॉवरशेल 5.1 में इनवोक-रेस्टमेथोड
• चरण 1 में access_type ऑफ़लाइन होने पर भी ताज़ा टोकन नहीं मिल रहा है
• तुलना ऑपरेटरों के बारे में
• निर्देशिका एपीआई: उपयोगकर्ता खाते
• उपयोगकर्ताओं को खोजें
• निर्देशिका एपीआई: समूह
• इनवोक-रेस्टमेथड के लिए त्रुटि प्रबंधन - पावरशेल

स्रोत: www.habr.com