API द्वारे PowerShell वरून Google वापरकर्ते तयार करणे

हाय

हा लेख G Suite वापरकर्त्यांना हाताळण्यासाठी Google API सह PowerShell परस्परसंवादाच्या अंमलबजावणीचे वर्णन करेल.

आम्ही संपूर्ण संस्थेमध्ये अनेक अंतर्गत आणि क्लाउड सेवा वापरतो. बहुतांश भागांसाठी, त्यातील अधिकृतता Google किंवा Active Directory कडे येते, ज्या दरम्यान आम्ही प्रतिकृती राखू शकत नाही; त्यानुसार, जेव्हा एखादा नवीन कर्मचारी निघतो, तेव्हा तुम्हाला या दोन प्रणालींमध्ये खाते तयार/सक्षम करणे आवश्यक असते. प्रक्रिया स्वयंचलित करण्यासाठी, आम्ही एक स्क्रिप्ट लिहिण्याचा निर्णय घेतला जी माहिती संकलित करते आणि दोन्ही सेवांना पाठवते.

अधिकृतता

आवश्यकता रेखाटताना, आम्ही अधिकृततेसाठी वास्तविक मानवी प्रशासक वापरण्याचे ठरविले; हे अपघाती किंवा हेतुपुरस्सर मोठ्या प्रमाणात बदल झाल्यास कृतींचे विश्लेषण सुलभ करते.

Google API प्रमाणीकरण आणि अधिकृततेसाठी OAuth 2.0 प्रोटोकॉल वापरतात. प्रकरणे वापरा आणि अधिक तपशीलवार वर्णन येथे आढळू शकते: Google API मध्ये प्रवेश करण्यासाठी OAuth 2.0 वापरणे.

मी स्क्रिप्ट निवडली जी डेस्कटॉप अनुप्रयोगांमध्ये अधिकृततेसाठी वापरली जाते. सेवा खाते वापरण्याचा पर्याय देखील आहे, ज्यासाठी वापरकर्त्याकडून अनावश्यक हालचालींची आवश्यकता नाही.

खालील चित्र Google पृष्ठावरून निवडलेल्या परिस्थितीचे योजनाबद्ध वर्णन आहे.

1. प्रथम, आम्ही वापरकर्त्याला GET पॅरामीटर्स निर्दिष्ट करून Google खाते प्रमाणीकरण पृष्ठावर पाठवतो:
   • अर्ज आयडी
   • अनुप्रयोगास ज्या भागात प्रवेश आवश्यक आहे
   • प्रक्रिया पूर्ण केल्यानंतर वापरकर्त्याला ज्या पत्त्यावर पुनर्निर्देशित केले जाईल
   • ज्या प्रकारे आम्ही टोकन अपडेट करू
   • सुरक्षा कोड
   • सत्यापन कोड ट्रांसमिशन स्वरूप

2. अधिकृतता पूर्ण झाल्यानंतर, वापरकर्त्यास GET पॅरामीटर्सद्वारे पास केलेल्या त्रुटी किंवा अधिकृतता कोडसह, पहिल्या विनंतीमध्ये निर्दिष्ट केलेल्या पृष्ठावर पुनर्निर्देशित केले जाईल
3. अनुप्रयोगास (स्क्रिप्ट) हे पॅरामीटर्स प्राप्त करणे आवश्यक आहे आणि, कोड प्राप्त झाल्यास, टोकन प्राप्त करण्यासाठी खालील विनंती करा
4. विनंती योग्य असल्यास, Google API परत करेल:
   • प्रवेश टोकन ज्याद्वारे आम्ही विनंत्या करू शकतो
   • या टोकनची वैधता कालावधी
   • अॅक्सेस टोकन रिफ्रेश करण्यासाठी टोकन रिफ्रेश करणे आवश्यक आहे.

प्रथम तुम्हाला Google API कन्सोलवर जाण्याची आवश्यकता आहे: क्रेडेन्शियल्स - Google API कन्सोल, इच्छित अनुप्रयोग निवडा आणि क्रेडेन्शियल्स विभागात क्लायंट OAuth आयडेंटिफायर तयार करा. तेथे (किंवा नंतर, तयार केलेल्या अभिज्ञापकाच्या गुणधर्मांमध्ये) आपल्याला पुनर्निर्देशनास अनुमती असलेले पत्ते निर्दिष्ट करणे आवश्यक आहे. आमच्या बाबतीत, या वेगवेगळ्या पोर्टसह अनेक लोकलहोस्ट एंट्री असतील (खाली पहा).

स्क्रिप्ट अल्गोरिदम वाचणे अधिक सोयीस्कर बनवण्यासाठी, तुम्ही वेगळ्या फंक्शनमध्ये प्रथम चरण प्रदर्शित करू शकता जे ऍप्लिकेशनसाठी ऍक्सेस आणि रीफ्रेश टोकन परत करतील:

$client_secret = 'Our Client Secret'
$client_id = 'Our Client ID'
function Get-GoogleAuthToken {
  if (-not [System.Net.HttpListener]::IsSupported) {
    "HttpListener is not supported."
    exit 1
  }
  $codeverifier = -join ((65..90) + (97..122) + (48..57) + 45 + 46 + 95 + 126 |Get-Random -Count 60| % {[char]$_})
  $hasher = new-object System.Security.Cryptography.SHA256Managed
  $hashByteArray = $hasher.ComputeHash([System.Text.Encoding]::UTF8.GetBytes($codeverifier))
  $base64 = ((([System.Convert]::ToBase64String($hashByteArray)).replace('=','')).replace('+','-')).replace('/','_')
  $ports = @(10600,15084,39700,42847,65387,32079)
  $port = $ports[(get-random -Minimum 0 -maximum 5)]
  Write-Host "Start browser..."
  Start-Process "https://accounts.google.com/o/oauth2/v2/auth?code_challenge_method=S256&code_challenge=$base64&access_type=offline&client_id=$client_id&redirect_uri=http://localhost:$port&response_type=code&scope=https://www.googleapis.com/auth/admin.directory.user https://www.googleapis.com/auth/admin.directory.group"
  $listener = New-Object System.Net.HttpListener
  $listener.Prefixes.Add("http://localhost:"+$port+'/')
  try {$listener.Start()} catch {
    "Unable to start listener."
    exit 1
  }
  while (($code -eq $null)) {
    $context = $listener.GetContext()
    Write-Host "Connection accepted" -f 'mag'
    $url = $context.Request.RawUrl
    $code = $url.split('?')[1].split('=')[1].split('&')[0]
    if ($url.split('?')[1].split('=')[0] -eq 'error') {
      Write-Host "Error!"$code -f 'red'
      $buffer = [System.Text.Encoding]::UTF8.GetBytes("Error!"+$code)
      $context.Response.ContentLength64 = $buffer.Length
      $context.Response.OutputStream.Write($buffer, 0, $buffer.Length)
      $context.Response.OutputStream.Close()
      $listener.Stop()
      exit 1
    }
    $buffer = [System.Text.Encoding]::UTF8.GetBytes("Now you can close this browser tab.")
    $context.Response.ContentLength64 = $buffer.Length
    $context.Response.OutputStream.Write($buffer, 0, $buffer.Length)
    $context.Response.OutputStream.Close()
    $listener.Stop()
  }
  Return Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/oauth2/v4/token" -Body @{
    code = $code
    client_id = $client_id
    client_secret = $client_secret
    redirect_uri = 'http://localhost:'+$port
    grant_type = 'authorization_code'
    code_verifier   = $codeverifier
  }
  $code = $null

आम्ही OAuth क्लायंट आयडेंटिफायर गुणधर्मांमध्ये मिळवलेला क्लायंट आयडी आणि क्लायंट सीक्रेट सेट करतो आणि कोड व्हेरिफायर ही 43 ते 128 वर्णांची स्ट्रिंग आहे जी यादृच्छिकपणे अनारक्षित वर्णांमधून तयार केली जाणे आवश्यक आहे: [AZ] / [az] / [0-9 ] / "-" / "." / "_" / "~".

हा कोड नंतर पुन्हा प्रसारित केला जाईल. हे असुरक्षा काढून टाकते ज्यामध्ये आक्रमणकर्ता वापरकर्त्याच्या अधिकृततेनंतर पुनर्निर्देशित म्हणून परत आलेल्या प्रतिसादात अडथळा आणू शकतो.
तुम्ही सध्याच्या विनंतीमध्ये स्पष्ट मजकूरात कोड पडताळणीकर्ता पाठवू शकता (जे ते निरर्थक बनवते - हे केवळ SHA256 ला सपोर्ट न करणाऱ्या सिस्टमसाठीच योग्य आहे), किंवा SHA256 अल्गोरिदम वापरून हॅश तयार करून, जे BASE64Url मध्ये एन्कोड केलेले असणे आवश्यक आहे (भिन्न Base64 वरून दोन सारणी वर्णांद्वारे) आणि वर्ण रेखा समाप्ती काढून टाकणे: =.

पुढे, अधिकृततेनंतर प्रतिसाद प्राप्त करण्यासाठी आम्हाला स्थानिक मशीनवर HTTP ऐकणे सुरू करावे लागेल, जे पुनर्निर्देशन म्हणून परत केले जाईल.

प्रशासकीय कार्ये एका विशेष सर्व्हरवर केली जातात, आम्ही एकाच वेळी अनेक प्रशासक स्क्रिप्ट चालवण्याची शक्यता नाकारू शकत नाही, म्हणून ते वर्तमान वापरकर्त्यासाठी यादृच्छिकपणे एक पोर्ट निवडेल, परंतु मी पूर्वनिर्धारित पोर्ट निर्दिष्ट केले कारण ते API कन्सोलमध्ये विश्वसनीय म्हणून देखील जोडले जाणे आवश्यक आहे.

access_type=ऑफलाइन याचा अर्थ असा आहे की ब्राउझरसह वापरकर्त्याच्या परस्परसंवादाशिवाय अनुप्रयोग कालबाह्य टोकन स्वतःच अपडेट करू शकतो,
प्रतिसाद_प्रकार=कोड कोड कसा परत केला जाईल याचे स्वरूप सेट करते (जुन्या अधिकृतता पद्धतीचा संदर्भ, जेव्हा वापरकर्त्याने ब्राउझरमधून कोड स्क्रिप्टमध्ये कॉपी केला),
व्याप्ती प्रवेशाची व्याप्ती आणि प्रकार सूचित करते. ते रिक्त स्थान किंवा %20 (URL एन्कोडिंगनुसार) विभक्त केले पाहिजेत. प्रकारांसह प्रवेश क्षेत्रांची सूची येथे पाहिली जाऊ शकते: Google API साठी OAuth 2.0 स्कोप.

अधिकृतता कोड प्राप्त केल्यानंतर, अनुप्रयोग ब्राउझरला एक जवळचा संदेश देईल, पोर्टवर ऐकणे थांबवेल आणि टोकन प्राप्त करण्यासाठी POST विनंती पाठवेल. आम्ही त्यात पूर्वी निर्दिष्ट केलेला आयडी आणि कन्सोल API मधील गुप्त, वापरकर्त्याला ज्या पत्त्यावर पुनर्निर्देशित केले जाईल आणि प्रोटोकॉल तपशीलानुसार grant_type सूचित करतो.

प्रतिसादात, आम्हाला एक ऍक्सेस टोकन, त्याची वैधता काही सेकंदात आणि रिफ्रेश टोकन मिळेल, ज्याद्वारे आम्ही ऍक्सेस टोकन अपडेट करू शकतो.

अॅप्लिकेशनने टोकन्स एका सुरक्षित ठिकाणी दीर्घ शेल्फ लाइफसह संग्रहित करणे आवश्यक आहे, म्हणून जोपर्यंत आम्ही प्राप्त केलेला प्रवेश रद्द करत नाही तोपर्यंत, अनुप्रयोग रिफ्रेश टोकन परत करणार नाही. शेवटी, मी टोकन मागे घेण्याची विनंती जोडली; जर अर्ज यशस्वीरित्या पूर्ण झाला नाही आणि रीफ्रेश टोकन परत केले गेले नाही, तर ते पुन्हा प्रक्रिया सुरू करेल (आम्ही टर्मिनलवर स्थानिक पातळीवर टोकन संग्रहित करणे असुरक्षित मानले आणि आम्ही हे करू शकत नाही. क्रिप्टोग्राफीने गोष्टी क्लिष्ट करू इच्छित नाही किंवा ब्राउझर वारंवार उघडू इच्छित नाही).

do {
  $token_result = Get-GoogleAuthToken
  $token = $token_result.access_token
  if ($token_result.refresh_token -eq $null) {
    Write-Host ("Session is not destroyed. Revoking token...")
    Invoke-WebRequest -Uri ("https://accounts.google.com/o/oauth2/revoke?token="+$token)
  }
} while ($token_result.refresh_token -eq $null)
$refresh_token = $token_result.refresh_token
$minute = ([int]("{0:mm}" -f ([timespan]::fromseconds($token_result.expires_in))))+((Get-date).Minute)-2
if ($minute -lt 0) {$minute += 60}
elseif ($minute -gt 59) {$minute -=60}
$token_expire = @{
  hour = ([int]("{0:hh}" -f ([timespan]::fromseconds($token_result.expires_in))))+((Get-date).Hour)
  minute = $minute
}

तुम्ही आधीच लक्षात घेतल्याप्रमाणे, टोकन रद्द करताना, Invoke-WebRequest वापरला जातो. Invoke-RestMethod च्या विपरीत, ते प्राप्त डेटा वापरण्यायोग्य स्वरूपात परत करत नाही आणि विनंतीची स्थिती दर्शवते.

पुढे, स्क्रिप्ट तुम्हाला वापरकर्त्याचे नाव आणि आडनाव प्रविष्ट करण्यास सांगते, लॉगिन + ईमेल तयार करते.

चौकश्या

पुढील विनंत्या असतील - सर्व प्रथम, नवीन तयार करण्याचा किंवा वर्तमान सक्षम करण्याचा निर्णय घेण्यासाठी समान लॉगिन असलेला वापरकर्ता आधीपासूनच अस्तित्वात आहे की नाही हे तपासणे आवश्यक आहे.

मी स्विच वापरून निवडीसह सर्व विनंत्या एका फंक्शनच्या स्वरूपात लागू करण्याचा निर्णय घेतला:

function GoogleQuery {
  param (
    $type,
    $query
  )
  switch ($type) {
    "SearchAccount" {
      Return Invoke-RestMethod -Method Get -Uri "https://www.googleapis.com/admin/directory/v1/users" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body @{
        domain = 'rocketguys.com'
        query  = "email:$query"
      }
    }
    "UpdateAccount" {
      $body = @{
        name  = @{
          givenName = $query['givenName']
          familyName = $query['familyName']
        }
        suspended = 'false'
        password = $query['password']
        changePasswordAtNextLogin = 'true'
        phones = @(@{
          primary = 'true'
          value = $query['phone']
          type = "mobile"
        })
        orgUnitPath = $query['orgunit']
      }
      Return Invoke-RestMethod -Method Put -Uri ("https://www.googleapis.com/admin/directory/v1/users/"+$query['email']) -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
    }
    
    "CreateAccount" {
      $body = @{
        primaryEmail = $query['email']
        name  = @{
          givenName = $query['givenName']
          familyName = $query['familyName']
        }
        suspended = 'false'
        password = $query['password']
        changePasswordAtNextLogin = 'true'
        phones = @(@{
          primary = 'true'
          value = $query['phone']
          type = "mobile"
        })
        orgUnitPath = $query['orgunit']
      }
      Return Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/admin/directory/v1/users" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
    }
    "AddMember" {
      $body = @{
        userKey = $query['email']
      }
      $ifrequest = Invoke-RestMethod -Method Get -Uri "https://www.googleapis.com/admin/directory/v1/groups" -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body $body
      $array = @()
      foreach ($group in $ifrequest.groups) {$array += $group.email}
      if ($array -notcontains $query['groupkey']) {
        $body = @{
          email = $query['email']
          role = "MEMBER"
        }
        Return Invoke-RestMethod -Method Post -Uri ("https://www.googleapis.com/admin/directory/v1/groups/"+$query['groupkey']+"/members") -Headers @{Authorization = "Bearer "+(Get-GoogleToken)} -Body (ConvertTo-Json $body) -ContentType 'application/json; charset=utf-8'
      } else {
        Return ($query['email']+" now is a member of "+$query['groupkey'])
      }
    }
  }
}

प्रत्येक विनंतीमध्ये, तुम्हाला टोकन प्रकार आणि स्वतः प्रवेश टोकन असलेले अधिकृतता शीर्षलेख पाठवणे आवश्यक आहे. सध्या, टोकन प्रकार नेहमीच वाहक असतो. कारण टोकन कालबाह्य झाले नसल्याचे तपासणे आवश्यक आहे आणि ते जारी केल्यापासून एक तासानंतर ते अद्यतनित करणे आवश्यक आहे, मी दुसर्‍या फंक्शनसाठी विनंती निर्दिष्ट केली आहे जी प्रवेश टोकन परत करते. प्रथम प्रवेश टोकन प्राप्त करताना कोडचा समान भाग स्क्रिप्टच्या सुरुवातीला असतो:

function Get-GoogleToken {
  if (((Get-date).Hour -gt $token_expire.hour) -or (((Get-date).Hour -ge $token_expire.hour) -and ((Get-date).Minute -gt $token_expire.minute))) {
  Write-Host "Token Expired. Refreshing..."
    $request = (Invoke-RestMethod -Method Post -Uri "https://www.googleapis.com/oauth2/v4/token" -ContentType 'application/x-www-form-urlencoded' -Body @{
      client_id = $client_id
      client_secret = $client_secret
      refresh_token = $refresh_token
      grant_type = 'refresh_token'
    })
    $token = $request.access_token
    $minute = ([int]("{0:mm}" -f ([timespan]::fromseconds($request.expires_in))))+((Get-date).Minute)-2
    if ($minute -lt 0) {$minute += 60}
    elseif ($minute -gt 59) {$minute -=60}
    $script:token_expire = @{
      hour = ([int]("{0:hh}" -f ([timespan]::fromseconds($request.expires_in))))+((Get-date).Hour)
      minute = $minute
    }
  }
  return $token
}

अस्तित्वासाठी लॉगिन तपासत आहे:

function Check_Google {
  $query = (GoogleQuery 'SearchAccount' $username)
  if ($query.users -ne $null) {
    $user = $query.users[0]
    Write-Host $user.name.fullName' - '$user.PrimaryEmail' - suspended: '$user.Suspended
    $GAresult = $user
  }
  if ($GAresult) {
      $return = $GAresult
  } else {$return = 'gg'}
  return $return
}

ईमेल:$query विनंती एपीआयला उपनामांसह नेमका तो ईमेल असलेला वापरकर्ता शोधण्यास सांगेल. तुम्ही वाइल्डकार्ड देखील वापरू शकता: =, :, :{PREFIX}*.

डेटा मिळवण्यासाठी, GET विनंती पद्धत वापरा, डेटा घालण्यासाठी (खाते तयार करणे किंवा गटामध्ये सदस्य जोडणे) - POST, विद्यमान डेटा अद्यतनित करण्यासाठी - PUT, रेकॉर्ड हटविण्यासाठी (उदाहरणार्थ, समूहातील सदस्य) - हटवा.

स्क्रिप्ट फोन नंबर (अप्रमाणित स्ट्रिंग) आणि प्रादेशिक वितरण गटामध्ये समाविष्ट करण्यासाठी देखील विचारेल. निवडलेल्या Active Directory OU च्या आधारे वापरकर्त्याने कोणते संस्थात्मक युनिट असावे हे ते ठरवते आणि पासवर्डसह येतो:

do {
  $phone = Read-Host "Телефон в формате +7хххххххх"
} while (-not $phone)
do {
    $moscow = Read-Host "В Московский офис? (y/n) "
} while (-not (($moscow -eq 'y') -or ($moscow -eq 'n')))
$orgunit = '/'
if ($OU -like "*OU=Delivery,OU=Users,OU=ROOT,DC=rocket,DC=local") {
    Write-host "Будет создана в /Team delivery"
    $orgunit = "/Team delivery"
}
$Password =  -join ( 48..57 + 65..90 + 97..122 | Get-Random -Count 12 | % {[char]$_})+"*Ba"

आणि मग तो खात्यात फेरफार करण्यास सुरवात करतो:

$query = @{
  email = $email
  givenName = $firstname
  familyName = $lastname
  password = $password
  phone = $phone
  orgunit = $orgunit
}
if ($GMailExist) {
  Write-Host "Запускаем изменение аккаунта" -f mag
  (GoogleQuery 'UpdateAccount' $query) | fl
  write-host "Не забудь проверить группы у включенного $Username в Google."
} else {
  Write-Host "Запускаем создание аккаунта" -f mag
  (GoogleQuery 'CreateAccount' $query) | fl
}
if ($moscow -eq "y"){
  write-host "Добавляем в группу moscowoffice"
  $query = @{
    groupkey = '[email protected]'
    email = $email
  }
  (GoogleQuery 'AddMember' $query) | fl
}

खाते अद्ययावत करणे आणि तयार करणे या फंक्शन्समध्ये समान वाक्यरचना असते; सर्व अतिरिक्त फील्ड आवश्यक नाहीत; फोन नंबरसह विभागात, आपल्याला एक अॅरे निर्दिष्ट करणे आवश्यक आहे ज्यामध्ये नंबर आणि त्याच्या प्रकारासह एक रेकॉर्ड असू शकतो.

गटामध्ये वापरकर्त्याला जोडताना त्रुटी येऊ नये म्हणून, आम्ही प्रथम वापरकर्त्याकडून गट सदस्यांची यादी किंवा रचना मिळवून तो आधीच या गटाचा सदस्य आहे की नाही हे तपासू शकतो.

विशिष्ट वापरकर्त्याच्या गट सदस्यत्वाची चौकशी करणे पुनरावृत्ती होणार नाही आणि केवळ थेट सदस्यत्व दर्शवेल. वापरकर्त्याचा सदस्य असलेल्या पालक गटातील वापरकर्त्याचा समावेश करणे यशस्वी होईल.

निष्कर्ष

वापरकर्त्याला नवीन खात्यासाठी पासवर्ड पाठवणे बाकी आहे. आम्ही हे एसएमएसद्वारे करतो, आणि सूचनांसह सामान्य माहिती पाठवतो आणि वैयक्तिक ईमेलवर लॉग इन करतो, जो फोन नंबरसह, भर्ती विभागाने प्रदान केला होता. एक पर्याय म्हणून, तुम्ही पैसे वाचवू शकता आणि गुप्त टेलीग्राम चॅटवर तुमचा पासवर्ड पाठवू शकता, जो दुसरा घटक देखील मानला जाऊ शकतो (मॅकबुक अपवाद असेल).

शेवटपर्यंत वाचल्याबद्दल धन्यवाद. लेख लिहिण्याची शैली सुधारण्यासाठी सूचना पाहून मला आनंद होईल आणि स्क्रिप्ट्स लिहिताना तुम्ही कमी चुका लक्षात घ्याव्यात अशी इच्छा आहे =)

थीमॅटिकदृष्ट्या उपयुक्त किंवा फक्त प्रश्नांची उत्तरे देणाऱ्या लिंक्सची यादी:

• मोबाइल आणि डेस्कटॉप अॅप्ससाठी OAuth 2.0
• वेब सर्व्हर अनुप्रयोगांसाठी OAuth 2.0 वापरणे
• OAuth सार्वजनिक क्लायंटद्वारे कोड एक्सचेंजसाठी पुरावा की
• PowerShell सह यादृच्छिक अक्षरे व्युत्पन्न करा
• ASCII सारणी आणि वर्णन
• पॉवरशेल: स्ट्रिंगसाठी हॅश व्हॅल्यू मिळवणे
• एन्कोड/डीकोड बेस64Url
• Base64 एन्कोडिंग वि Base64url एन्कोडिंग
• PowerShell 5.1 मध्ये इनव्होक-रेस्ट मेथड
• पायरी 1 मध्ये access_type ऑफलाइन असतानाही रिफ्रेश टोकन मिळत नाही
• तुलना ऑपरेटर बद्दल
• निर्देशिका API: वापरकर्ता खाती
• वापरकर्त्यांसाठी शोधा
• निर्देशिका API: गट
• Invoke-RestMethod - Powershell साठी एरर हाताळणी

स्त्रोत: www.habr.com