ການສ້າງຜູ້ໃຊ້ Google ຈາກ PowerShell ຜ່ານ API

Hello!

ບົດຄວາມນີ້ຈະອະທິບາຍການປະຕິບັດການໂຕ້ຕອບ PowerShell ກັບ Google API ເພື່ອຈັດການຜູ້ໃຊ້ G Suite.

ພວກເຮົາໃຊ້ບໍລິການພາຍໃນ ແລະຄລາວຫຼາຍອັນໃນທົ່ວອົງກອນ. ສໍາລັບສ່ວນໃຫຍ່, ການອະນຸຍາດໃນພວກມັນແມ່ນມາຈາກ Google ຫຼື Active Directory, ລະຫວ່າງທີ່ພວກເຮົາບໍ່ສາມາດຮັກສາການຈໍາລອງ; ດັ່ງນັ້ນ, ເມື່ອພະນັກງານໃຫມ່ອອກໄປ, ທ່ານຈໍາເປັນຕ້ອງສ້າງ / ເປີດໃຊ້ບັນຊີໃນສອງລະບົບນີ້. ເພື່ອອັດຕະໂນມັດຂະບວນການ, ພວກເຮົາໄດ້ຕັດສິນໃຈຂຽນສະຄິບທີ່ເກັບກໍາຂໍ້ມູນແລະສົ່ງໃຫ້ທັງສອງບໍລິການ.

ການອະນຸຍາດ

ເມື່ອສ້າງຄວາມຕ້ອງການ, ພວກເຮົາໄດ້ຕັດສິນໃຈນໍາໃຊ້ຜູ້ບໍລິຫານຂອງມະນຸດທີ່ແທ້ຈິງສໍາລັບການອະນຸຍາດ; ນີ້ເຮັດໃຫ້ການວິເຄາະການດໍາເນີນການງ່າຍຂຶ້ນໃນກໍລະນີທີ່ມີການປ່ຽນແປງຂະຫນາດໃຫຍ່ໂດຍບັງເອີນຫຼືໂດຍເຈດຕະນາ.

Google APIs ໃຊ້ໂປຣໂຕຄໍ OAuth 2.0 ສຳລັບການພິສູດຢືນຢັນ ແລະອະນຸຍາດ. ກໍລະນີການນຳໃຊ້ ແລະລາຍລະອຽດເພີ່ມເຕີມສາມາດພົບໄດ້ທີ່ນີ້: ໃຊ້ OAuth 2.0 ເພື່ອເຂົ້າເຖິງ Google APIs.

ຂ້າພະເຈົ້າໄດ້ເລືອກສະຄິບທີ່ໃຊ້ສໍາລັບການອະນຸຍາດໃນຄໍາຮ້ອງສະຫມັກ desktop. ຍັງມີທາງເລືອກທີ່ຈະນໍາໃຊ້ບັນຊີບໍລິການ, ເຊິ່ງບໍ່ຈໍາເປັນຕ້ອງມີການເຄື່ອນໄຫວທີ່ບໍ່ຈໍາເປັນຈາກຜູ້ໃຊ້.

ຮູບພາບຂ້າງລຸ່ມນີ້ແມ່ນຄໍາອະທິບາຍແບບແຜນຂອງສະຖານະການທີ່ເລືອກຈາກຫນ້າ Google.

1. ທໍາອິດ, ພວກເຮົາສົ່ງຜູ້ໃຊ້ໄປຫາຫນ້າການກວດສອບບັນຊີ Google, ລະບຸພາລາມິເຕີ GET:
   • ໄອດີແອັບພລິເຄຊັນ
   • ພື້ນທີ່ທີ່ແອັບພລິເຄຊັນຕ້ອງການເຂົ້າເຖິງ
   • ທີ່ຢູ່ທີ່ຜູ້ໃຊ້ຈະຖືກປ່ຽນເສັ້ນທາງຫຼັງຈາກສໍາເລັດຂັ້ນຕອນ
   • ວິທີທີ່ພວກເຮົາຈະປັບປຸງ token
   • ລະ​ຫັດ​ຄວາມ​ປອດ​ໄພ
   • ຮູບແບບການສົ່ງລະຫັດຢືນຢັນ

2. ຫຼັງ​ຈາກ​ການ​ອະ​ນຸ​ຍາດ​ສໍາ​ເລັດ​ແລ້ວ​, ຜູ້​ໃຊ້​ຈະ​ໄດ້​ຮັບ​ການ​ໂອນ​ໄປ​ຫາ​ຫນ້າ​ທີ່​ລະ​ບຸ​ໄວ້​ໃນ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ທໍາ​ອິດ​, ມີ​ຂໍ້​ຜິດ​ພາດ​ຫຼື​ລະ​ຫັດ​ການ​ອະ​ນຸ​ຍາດ​ຜ່ານ​ພາ​ລາ​ມິ​ເຕີ GET​.
3. ແອັບພລິເຄຊັນ (script) ຈະຕ້ອງໄດ້ຮັບພາລາມິເຕີເຫຼົ່ານີ້ແລະ, ຖ້າໄດ້ຮັບລະຫັດ, ໃຫ້ເຮັດການຮ້ອງຂໍຕໍ່ໄປນີ້ເພື່ອໃຫ້ໄດ້ tokens.
4. ຖ້າຄໍາຮ້ອງຂໍຖືກຕ້ອງ, Google API ກັບຄືນມາ:
   • ການເຂົ້າເຖິງ token ທີ່ພວກເຮົາສາມາດເຮັດການຮ້ອງຂໍ
   • ໄລຍະເວລາທີ່ຖືກຕ້ອງຂອງ token ນີ້
   • ຕ້ອງໂຫຼດ token ຄືນໃໝ່ເພື່ອໂຫຼດ token ຄືນໃໝ່.

ກ່ອນອື່ນ ໝົດ ທ່ານຕ້ອງໄປທີ່ Google API console: ຂໍ້ມູນປະຈໍາຕົວ - Google API Console, ເລືອກແອັບພລິເຄຊັນທີ່ຕ້ອງການ ແລະໃນສ່ວນ Credentials ສ້າງຕົວລະບຸ OAuth ຂອງລູກຄ້າ. ຢູ່ທີ່ນັ້ນ (ຫຼືຫຼັງຈາກນັ້ນ, ໃນຄຸນສົມບັດຂອງຕົວລະບຸທີ່ສ້າງ) ​​ທ່ານຕ້ອງລະບຸທີ່ຢູ່ທີ່ການປ່ຽນເສັ້ນທາງຖືກອະນຸຍາດ. ໃນກໍລະນີຂອງພວກເຮົາ, ເຫຼົ່ານີ້ຈະເປັນ localhost ຫຼາຍລາຍການທີ່ມີພອດທີ່ແຕກຕ່າງກັນ (ເບິ່ງຂ້າງລຸ່ມນີ້).

ເພື່ອເຮັດໃຫ້ມັນສະດວກກວ່າທີ່ຈະອ່ານ script algorithm, ທ່ານສາມາດສະແດງຂັ້ນຕອນທໍາອິດໃນຟັງຊັນແຍກຕ່າງຫາກທີ່ຈະກັບຄືນການເຂົ້າເຖິງແລະໂຫຼດຫນ້າຈໍຄືນ tokens ສໍາລັບຄໍາຮ້ອງສະຫມັກ:

$client_secret = 'Our Client Secret'
$client_id = 'Our Client ID'
function Get-GoogleAuthToken {
  if (-not [System.Net.HttpListener]::IsSupported) {
    "HttpListener is not supported."
    exit 1
  }
  $codeverifier = -join ((65..90) + (97..122) + (48..57) + 45 + 46 + 95 + 126 |Get-Random -Count 60| % {[char]$_})
  $hasher = new-object System.Security.Cryptography.SHA256Managed
  $hashByteArray = $hasher.ComputeHash([System.Text.Encoding]::UTF8.GetBytes($codeverifier))
  $base64 = ((([System.Convert]::ToBase64String($hashByteArray)).replace('=','')).replace('+','-')).replace('/','_')
  $ports = @(10600,15084,39700,42847,65387,32079)
  $port = $ports[(get-random -Minimum 0 -maximum 5)]
  Write-Host "Start browser..."
  Start-Process "https://accounts.google.com/o/oauth2/v2/auth?code_challenge_method=S256&code_challenge=$base64&access_type=offline&client_id=$client_id&redirect_uri=http://localhost:$port&response_type=code&scope=https://www.googleapis.com/auth/admin.directory.user https://www.googleapis.com/auth/admin.directory.group"
  $listener = New-Object System.Net.HttpListener
  $listener.Prefixes.Add("http://localhost:"+$port+'/')
  try {$listener.Start()} catch {
    "Unable to start listener."
    exit 1
  }
  while (($code -eq $null)) {
    $context = $listener.GetContext()
    Write-Host "Connection accepted" -f 'mag'
    $url = $context.Request.RawUrl
    $code = $url.split('?')[1].split('=')[1].split('&')[0]
    if ($url.split('?')[1].split('=')[0] -eq 'error') {
      Write-Host "Error!"$code -f 'red'
      $buffer = [System.Text.Encoding]::UTF8.GetBytes("Error!"+$code)
      $context.Response.ContentLength64 = $buffer.Length
      $context.Response.OutputStream.Write($buffer, 0, $buffer.Length)
      $context.Response.OutputStream.Close()
      $listener.Stop()
      exit 1
    }
    $buffer = [System.Text.Encoding]::UTF8.GetBytes("Now you can close this browser tab.")
    $context.Response.ContentLength64 = $buffer.Length
    $context.Response.OutputStream.Write($buffer, 0, $buffer.Length)
    $context.Response.OutputStream.Close()
    $listener.Stop()
  }
  Return Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/oauth2/v4/token" -Body @{
    code = $code
    client_id = $client_id
    client_secret = $client_secret
    redirect_uri = 'http://localhost:'+$port
    grant_type = 'authorization_code'
    code_verifier   = $codeverifier
  }
  $code = $null

ພວກເຮົາກໍານົດ Client ID ແລະຄວາມລັບຂອງລູກຄ້າທີ່ໄດ້ຮັບໃນຄຸນສົມບັດຕົວລະບຸລູກຄ້າ OAuth, ແລະຕົວກວດສອບລະຫັດແມ່ນສະຕຣິງຂອງ 43 ຫາ 128 ຕົວອັກສອນທີ່ຕ້ອງຖືກສ້າງແບບສຸ່ມຈາກຕົວອັກສອນທີ່ບໍ່ໄດ້ຈອງ: [AZ] / [az] / [0-9] / "-" / "." / "_" / "~".

ລະຫັດນີ້ຈະຖືກສົ່ງຕໍ່ອີກຄັ້ງ. ມັນກໍາຈັດຊ່ອງໂຫວ່ທີ່ຜູ້ໂຈມຕີສາມາດຂັດຂວາງການຕອບໂຕ້ຄືນເປັນການປ່ຽນເສັ້ນທາງຫຼັງຈາກການອະນຸຍາດຂອງຜູ້ໃຊ້.
ທ່ານສາມາດສົ່ງຕົວກວດສອບລະຫັດໃນຄໍາຮ້ອງຂໍໃນປະຈຸບັນເປັນຂໍ້ຄວາມທີ່ຊັດເຈນ (ເຊິ່ງເຮັດໃຫ້ມັນບໍ່ມີຄວາມຫມາຍ - ນີ້ແມ່ນເຫມາະສົມສໍາລັບລະບົບທີ່ບໍ່ສະຫນັບສະຫນູນ SHA256), ຫຼືໂດຍການສ້າງ hash ໂດຍໃຊ້ SHA256 algorithm, ເຊິ່ງຕ້ອງຖືກເຂົ້າລະຫັດໃນ BASE64Url (ແຕກຕ່າງກັນ. ຈາກ Base64 ໂດຍສອງຕົວອັກສອນຕາຕະລາງ) ແລະເອົາການສິ້ນສຸດເສັ້ນຕົວອັກສອນ: =.

ຕໍ່ໄປ, ພວກເຮົາຈໍາເປັນຕ້ອງເລີ່ມຕົ້ນຟັງ http ໃນເຄື່ອງທ້ອງຖິ່ນເພື່ອໄດ້ຮັບການຕອບສະຫນອງຫຼັງຈາກການອະນຸຍາດ, ເຊິ່ງຈະຖືກສົ່ງຄືນເປັນການປ່ຽນເສັ້ນທາງ.

ວຽກງານບໍລິຫານແມ່ນດໍາເນີນຢູ່ໃນເຄື່ອງແມ່ຂ່າຍພິເສດ, ພວກເຮົາບໍ່ສາມາດປະຕິເສດຄວາມເປັນໄປໄດ້ທີ່ຜູ້ບໍລິຫານຫຼາຍຄົນຈະແລ່ນສະຄິບໃນເວລາດຽວກັນ, ດັ່ງນັ້ນມັນຈະເລືອກພອດສໍາລັບຜູ້ໃຊ້ປະຈຸບັນແບບສຸ່ມ, ແຕ່ຂ້ອຍໄດ້ກໍານົດພອດທີ່ກໍານົດໄວ້ກ່ອນເພາະວ່າ ພວກເຂົາຍັງຕ້ອງຖືກເພີ່ມເປັນທີ່ເຊື່ອຖືໄດ້ໃນ API console.

access_type=offline ໝາຍ ຄວາມວ່າແອັບພລິເຄຊັນສາມາດອັບເດດ token ທີ່ໝົດອາຍຸດ້ວຍຕົວມັນເອງໂດຍບໍ່ມີການໂຕ້ຕອບກັບຜູ້ໃຊ້ກັບ browser,
response_type=ລະຫັດ ກໍານົດຮູບແບບຂອງວິທີທີ່ລະຫັດຈະຖືກສົ່ງຄືນ (ການອ້າງອີງເຖິງວິທີການອະນຸຍາດເກົ່າ, ເມື່ອຜູ້ໃຊ້ຄັດລອກລະຫັດຈາກຕົວທ່ອງເວັບເຂົ້າໄປໃນສະຄິບ),
ຂອບເຂດ ຊີ້ບອກຂອບເຂດ ແລະປະເພດຂອງການເຂົ້າເຖິງ. ພວກມັນຕ້ອງຖືກແຍກອອກດ້ວຍຊ່ອງຫວ່າງ ຫຼື %20 (ອີງຕາມການເຂົ້າລະຫັດ URL). ບັນຊີລາຍຊື່ຂອງພື້ນທີ່ເຂົ້າເຖິງທີ່ມີປະເພດສາມາດເບິ່ງໄດ້ທີ່ນີ້: OAuth 2.0 ຂອບເຂດສໍາລັບ Google APIs.

ຫຼັງຈາກໄດ້ຮັບລະຫັດການອະນຸຍາດ, ແອັບພລິເຄຊັນຈະສົ່ງຄືນຂໍ້ຄວາມທີ່ໃກ້ຊິດກັບຕົວທ່ອງເວັບ, ຢຸດຟັງຢູ່ໃນພອດແລະສົ່ງຄໍາຮ້ອງຂໍ POST ເພື່ອໃຫ້ໄດ້ຮັບ token. ພວກເຮົາຊີ້ບອກຢູ່ໃນມັນ id ທີ່ກໍານົດໄວ້ກ່ອນຫນ້ານີ້ແລະຄວາມລັບຈາກ console API, ທີ່ຢູ່ຜູ້ໃຊ້ຈະຖືກໂອນແລະ grant_type ຕາມຂໍ້ກໍານົດຂອງໂປໂຕຄອນ.

ໃນການຕອບສະໜອງ, ພວກເຮົາຈະໄດ້ຮັບໂທເຄັນການເຂົ້າເຖິງ, ໄລຍະເວລາຄວາມຖືກຕ້ອງຂອງມັນເປັນວິນາທີ, ແລະໂທເຄັນໂຫຼດຂໍ້ມູນຄືນໃໝ່, ເຊິ່ງພວກເຮົາສາມາດອັບເດດເຄື່ອງໝາຍການເຂົ້າເຖິງໄດ້.

ແອັບພລິເຄຊັນຕ້ອງເກັບຮັກສາ tokens ໃນສະຖານທີ່ທີ່ປອດໄພທີ່ມີຊີວິດການເກັບຮັກສາຍາວ, ດັ່ງນັ້ນຈົນກ່ວາພວກເຮົາຖອນການເຂົ້າເຖິງທີ່ໄດ້ຮັບ, ແອັບພລິເຄຊັນຈະບໍ່ສົ່ງຄືນ token ໂຫຼດຫນ້າຈໍຄືນ. ໃນທີ່ສຸດ, ຂ້າພະເຈົ້າໄດ້ເພີ່ມການຮ້ອງຂໍໃຫ້ຖອນ token; ຖ້າຄໍາຮ້ອງສະຫມັກບໍ່ສໍາເລັດແລະ refresh token ບໍ່ໄດ້ຖືກສົ່ງຄືນ, ມັນຈະເລີ່ມຂັ້ນຕອນອີກເທື່ອຫນຶ່ງ (ພວກເຮົາຖືວ່າມັນບໍ່ປອດໄພທີ່ຈະເກັບຮັກສາ tokens ຢູ່ໃນເຄື່ອງ, ແລະພວກເຮົາບໍ່ປອດໄພ. 'ບໍ່ຕ້ອງການທີ່ຈະສັບສົນກັບ cryptography ຫຼືເປີດຕົວທ່ອງເວັບເລື້ອຍໆ).

do {
  $token_result = Get-GoogleAuthToken
  $token = $token_result.access_token
  if ($token_result.refresh_token -eq $null) {
    Write-Host ("Session is not destroyed. Revoking token...")
    Invoke-WebRequest -Uri ("https://accounts.google.com/o/oauth2/revoke?token="+$token)
  }
} while ($token_result.refresh_token -eq $null)
$refresh_token = $token_result.refresh_token
$minute = ([int]("{0:mm}" -f ([timespan]::fromseconds($token_result.expires_in))))+((Get-date).Minute)-2
if ($minute -lt 0) {$minute += 60}
elseif ($minute -gt 59) {$minute -=60}
$token_expire = @{
  hour = ([int]("{0:hh}" -f ([timespan]::fromseconds($token_result.expires_in))))+((Get-date).Hour)
  minute = $minute
}

ດັ່ງທີ່ທ່ານໄດ້ສັງເກດເຫັນແລ້ວ, ເມື່ອຖອນ token, Invoke-WebRequest ຖືກນໍາໃຊ້. ບໍ່ເຫມືອນກັບ Invoke-RestMethod, ມັນບໍ່ໄດ້ສົ່ງຄືນຂໍ້ມູນທີ່ໄດ້ຮັບໃນຮູບແບບທີ່ສາມາດໃຊ້ໄດ້ແລະສະແດງສະຖານະຂອງຄໍາຮ້ອງຂໍ.

ຕໍ່ໄປ, script ຂໍໃຫ້ເຈົ້າໃສ່ຊື່ແລະນາມສະກຸນຂອງຜູ້ໃຊ້, ສ້າງການເຂົ້າສູ່ລະບົບ + ອີເມວ.

ການຮ້ອງຂໍ

ການຮ້ອງຂໍຕໍ່ໄປຈະເປັນ - ກ່ອນອື່ນ ໝົດ, ທ່ານຈໍາເປັນຕ້ອງກວດເບິ່ງວ່າຜູ້ໃຊ້ທີ່ມີການເຂົ້າສູ່ລະບົບດຽວກັນມີຢູ່ກ່ອນແລ້ວເພື່ອໃຫ້ມີການຕັດສິນໃຈໃນການສ້າງໃຫມ່ຫຼືການເປີດໃຊ້ໃນປະຈຸບັນ.

ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈປະຕິບັດການຮ້ອງຂໍທັງຫມົດໃນຮູບແບບຂອງຫນ້າທີ່ຫນຶ່ງທີ່ມີການຄັດເລືອກ, ໂດຍໃຊ້ປຸ່ມ:

function GoogleQuery {
  param (
    $type,
    $query
  )
  switch ($type) {
    "SearchAccount" {
      Return Invoke-RestMethod -Method Get -Uri "https://www.googleapis.com/admin/directory/v1/users" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body @{
        domain = 'rocketguys.com'
        query  = "email:$query"
      }
    }
    "UpdateAccount" {
      $body = @{
        name  = @{
          givenName = $query['givenName']
          familyName = $query['familyName']
        }
        suspended = 'false'
        password = $query['password']
        changePasswordAtNextLogin = 'true'
        phones = @(@{
          primary = 'true'
          value = $query['phone']
          type = "mobile"
        })
        orgUnitPath = $query['orgunit']
      }
      Return Invoke-RestMethod -Method Put -Uri ("https://www.googleapis.com/admin/directory/v1/users/"+$query['email']) -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
    }
    
    "CreateAccount" {
      $body = @{
        primaryEmail = $query['email']
        name  = @{
          givenName = $query['givenName']
          familyName = $query['familyName']
        }
        suspended = 'false'
        password = $query['password']
        changePasswordAtNextLogin = 'true'
        phones = @(@{
          primary = 'true'
          value = $query['phone']
          type = "mobile"
        })
        orgUnitPath = $query['orgunit']
      }
      Return Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/admin/directory/v1/users" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
    }
    "AddMember" {
      $body = @{
        userKey = $query['email']
      }
      $ifrequest = Invoke-RestMethod -Method Get -Uri "https://www.googleapis.com/admin/directory/v1/groups" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body $body
      $array = @()
      foreach ($group in $ifrequest.groups) {$array += $group.email}
      if ($array -notcontains $query['groupkey']) {
        $body = @{
          email = $query['email']
          role = "MEMBER"
        }
        Return Invoke-RestMethod -Method Post -Uri ("https://www.googleapis.com/admin/directory/v1/groups/"+$query['groupkey']+"/members") -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
      } else {
        Return ($query['email']+" now is a member of "+$query['groupkey'])
      }
    }
  }
}

ໃນແຕ່ລະຄໍາຮ້ອງຂໍ, ທ່ານຈໍາເປັນຕ້ອງສົ່ງຫົວການອະນຸຍາດທີ່ມີປະເພດ token ແລະ Access token ຕົວຂອງມັນເອງ. ໃນປັດຈຸບັນ, ປະເພດ token ແມ່ນສະເຫມີ Bearer. ເນື່ອງຈາກວ່າ ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ກວດເບິ່ງວ່າ token ບໍ່ຫມົດອາຍຸແລະປັບປຸງມັນຫຼັງຈາກຫນຶ່ງຊົ່ວໂມງຈາກເວລາທີ່ມັນຖືກອອກ, ຂ້າພະເຈົ້າໄດ້ລະບຸຄໍາຮ້ອງຂໍສໍາລັບຟັງຊັນອື່ນທີ່ສົ່ງຄືນ token ການເຂົ້າເຖິງ. ຊິ້ນສ່ວນດຽວກັນຂອງລະຫັດແມ່ນຢູ່ໃນຕອນຕົ້ນຂອງສະຄຣິບເມື່ອໄດ້ຮັບ token ທໍາອິດ Access:

function Get-GoogleToken {
  if (((Get-date).Hour -gt $token_expire.hour) -or (((Get-date).Hour -ge $token_expire.hour) -and ((Get-date).Minute -gt $token_expire.minute))) {
  Write-Host "Token Expired. Refreshing..."
    $request = (Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/oauth2/v4/token" -ContentType 'application/x-www-form-urlencoded' -Body @{
      client_id = $client_id
      client_secret = $client_secret
      refresh_token = $refresh_token
      grant_type = 'refresh_token'
    })
    $token = $request.access_token
    $minute = ([int]("{0:mm}" -f ([timespan]::fromseconds($request.expires_in))))+((Get-date).Minute)-2
    if ($minute -lt 0) {$minute += 60}
    elseif ($minute -gt 59) {$minute -=60}
    $script:token_expire = @{
      hour = ([int]("{0:hh}" -f ([timespan]::fromseconds($request.expires_in))))+((Get-date).Hour)
      minute = $minute
    }
  }
  return $token
}

ການ​ກວດ​ສອບ​ການ​ເຂົ້າ​ສູ່​ລະ​ບົບ​ສໍາ​ລັບ​ການ​ມີ​ຢູ່​ແລ້ວ​:

function Check_Google {
  $query = (GoogleQuery 'SearchAccount' $username)
  if ($query.users -ne $null) {
    $user = $query.users[0]
    Write-Host $user.name.fullName' - '$user.PrimaryEmail' - suspended: '$user.Suspended
    $GAresult = $user
  }
  if ($GAresult) {
      $return = $GAresult
  } else {$return = 'gg'}
  return $return
}

ອີເມວ: $query request ຈະຂໍໃຫ້ API ຊອກຫາຜູ້ໃຊ້ທີ່ມີອີເມວນັ້ນແທ້ໆ, ລວມທັງນາມແຝງ. ທ່ານຍັງສາມາດໃຊ້ wildcard: =, :, :{PREFIX}*.

ເພື່ອໃຫ້ໄດ້ຮັບຂໍ້ມູນ, ໃຊ້ວິທີການຮ້ອງຂໍ GET, ໃສ່ຂໍ້ມູນ (ການສ້າງບັນຊີຫຼືເພີ່ມສະມາຊິກໃນກຸ່ມ) - POST, ປັບປຸງຂໍ້ມູນທີ່ມີຢູ່ - PUT, ເພື່ອລຶບບັນທຶກ (ຕົວຢ່າງ, ສະມາຊິກຈາກກຸ່ມ) - ລຶບ.

ສະຄຣິບຍັງຈະຮ້ອງຂໍໃຫ້ມີເບີໂທລະສັບ (ສະຕຣິງທີ່ບໍ່ໄດ້ກວດສອບ) ແລະສໍາລັບການລວມຢູ່ໃນກຸ່ມການແຈກຢາຍພາກພື້ນ. ມັນຕັດສິນໃຈວ່າຫນ່ວຍງານອົງການຈັດຕັ້ງໃດທີ່ຜູ້ໃຊ້ຄວນຈະມີໂດຍອີງໃສ່ Active Directory OU ທີ່ເລືອກແລະມາພ້ອມກັບລະຫັດຜ່ານ:

do {
  $phone = Read-Host "Телефон в формате +7хххххххх"
} while (-not $phone)
do {
    $moscow = Read-Host "В Московский офис? (y/n) "
} while (-not (($moscow -eq 'y') -or ($moscow -eq 'n')))
$orgunit = '/'
if ($OU -like "*OU=Delivery,OU=Users,OU=ROOT,DC=rocket,DC=local") {
    Write-host "Будет создана в /Team delivery"
    $orgunit = "/Team delivery"
}
$Password =  -join ( 48..57 + 65..90 + 97..122 | Get-Random -Count 12 | % {[char]$_})+"*Ba"

ແລະຫຼັງຈາກນັ້ນລາວເລີ່ມຕົ້ນທີ່ຈະຈັດການບັນຊີ:

$query = @{
  email = $email
  givenName = $firstname
  familyName = $lastname
  password = $password
  phone = $phone
  orgunit = $orgunit
}
if ($GMailExist) {
  Write-Host "Запускаем изменение аккаунта" -f mag
  (GoogleQuery 'UpdateAccount' $query) | fl
  write-host "Не забудь проверить группы у включенного $Username в Google."
} else {
  Write-Host "Запускаем создание аккаунта" -f mag
  (GoogleQuery 'CreateAccount' $query) | fl
}
if ($moscow -eq "y"){
  write-host "Добавляем в группу moscowoffice"
  $query = @{
    groupkey = '[email protected]'
    email = $email
  }
  (GoogleQuery 'AddMember' $query) | fl
}

ຫນ້າທີ່ສໍາລັບການປັບປຸງແລະສ້າງບັນຊີມີ syntax ທີ່ຄ້າຍຄືກັນ; ບໍ່ແມ່ນການເພີ່ມເຕີມທັງຫມົດແມ່ນຕ້ອງການ; ໃນສ່ວນທີ່ມີເບີໂທລະສັບ, ທ່ານຈໍາເປັນຕ້ອງລະບຸ array ທີ່ສາມາດບັນຈຸໄດ້ເຖິງຫນຶ່ງບັນທຶກທີ່ມີຈໍານວນແລະປະເພດຂອງມັນ.

ເພື່ອບໍ່ໃຫ້ມີຂໍ້ຜິດພາດໃນເວລາທີ່ເພີ່ມຜູ້ໃຊ້ເຂົ້າໃນກຸ່ມ, ທໍາອິດພວກເຮົາສາມາດກວດເບິ່ງວ່າລາວເປັນສະມາຊິກຂອງກຸ່ມນີ້ແລ້ວໂດຍການໄດ້ຮັບບັນຊີລາຍຊື່ຂອງສະມາຊິກກຸ່ມຫຼືອົງປະກອບຈາກຜູ້ໃຊ້ເອງ.

ການສອບຖາມການເປັນສະມາຊິກກຸ່ມຂອງຜູ້ໃຊ້ສະເພາະໃດໜຶ່ງຈະບໍ່ເປັນການເອີ້ນຄືນ ແລະຈະສະແດງການເປັນສະມາຊິກໂດຍກົງເທົ່ານັ້ນ. ລວມທັງຜູ້ໃຊ້ຢູ່ໃນກຸ່ມພໍ່ແມ່ທີ່ມີກຸ່ມເດັກນ້ອຍຢູ່ແລ້ວທີ່ຜູ້ໃຊ້ເປັນສະມາຊິກຈະປະສົບຜົນສໍາເລັດ.

ສະຫລຸບ

ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນເພື່ອສົ່ງຜູ້ໃຊ້ລະຫັດຜ່ານສໍາລັບບັນຊີໃຫມ່. ພວກເຮົາເຮັດສິ່ງນີ້ຜ່ານ SMS, ແລະສົ່ງຂໍ້ມູນທົ່ວໄປດ້ວຍຄໍາແນະນໍາແລະເຂົ້າສູ່ລະບົບອີເມວສ່ວນຕົວ, ເຊິ່ງ, ພ້ອມກັບເບີໂທລະສັບ, ໄດ້ຖືກສະຫນອງໃຫ້ໂດຍພະແນກການຈ້າງງານ. ເປັນທາງເລືອກ, ທ່ານສາມາດປະຫຍັດເງິນແລະສົ່ງລະຫັດຜ່ານຂອງທ່ານໄປຫາການສົນທະນາ telegram ລັບ, ເຊິ່ງຍັງສາມາດພິຈາລະນາປັດໄຈທີສອງ (MacBooks ຈະເປັນຂໍ້ຍົກເວັ້ນ).

ຂອບໃຈທີ່ອ່ານຈົນຈົບ. ຂ້ອຍຈະດີໃຈທີ່ຈະເຫັນຄໍາແນະນໍາສໍາລັບການປັບປຸງຮູບແບບການຂຽນບົດຄວາມແລະຕ້ອງການໃຫ້ທ່ານຈັບຄວາມຜິດພາດຫນ້ອຍລົງໃນເວລາຂຽນ scripts =)

ບັນຊີລາຍຊື່ຂອງການເຊື່ອມຕໍ່ທີ່ອາດຈະເປັນປະໂຫຍດທາງທິດສະດີຫຼືພຽງແຕ່ຕອບຄໍາຖາມ:

• OAuth 2.0 ສໍາລັບແອັບຯມືຖື ແລະ Desktop
• ການນໍາໃຊ້ OAuth 2.0 ສໍາລັບຄໍາຮ້ອງສະຫມັກເຊີຟເວີເວັບ
• ລະຫັດຫຼັກຖານສໍາລັບການແລກປ່ຽນລະຫັດໂດຍລູກຄ້າສາທາລະນະ OAuth
• ສ້າງຕົວອັກສອນແບບສຸ່ມດ້ວຍ PowerShell
• ຕາຕະລາງ ASCII ແລະລາຍລະອຽດ
• PowerShell: ໄດ້ຮັບຄ່າ hash ສໍາລັບສະຕຣິງ
• ເຂົ້າລະຫັດ/ຖອດລະຫັດ Base64Url
• ການເຂົ້າລະຫັດ Base64 ທຽບກັບການເຂົ້າລະຫັດ Base64url
• Invoke-RestMethod ໃນ PowerShell 5.1
• ບໍ່ໄດ້ຮັບການໂຫຼດ token ຄືນໃໝ່ ເຖິງແມ່ນວ່າ access_type ຈະອອບລາຍຢູ່ໃນຂັ້ນຕອນທີ 1
• ກ່ຽວກັບຜູ້ປະຕິບັດການປຽບທຽບ
• Directory API: ບັນຊີຜູ້ໃຊ້
• ຄົ້ນຫາຜູ້ໃຊ້
• Directory API: ກຸ່ມ
• ການຈັດການຄວາມຜິດພາດສໍາລັບ Invoke-RestMethod - Powershell

ແຫຼ່ງຂໍ້ມູນ: www.habr.com