root নেই
মডেল অ-বিশেষাধিকারী ব্যবহারকারী হিসেবে কাজ করে। কাজের ভেতরে root-এর অস্তিত্ব নেই।
LIBRE / WORK পণ্য / Work APACHE 2.0
এমন এক ওয়ার্কস্পেস যা আপনি মডেলের হাতে দিতে পারেন।
Work মডেলকে দেয় নির্মাণের প্রকৃত জায়গা: টিকে থাকা ফাইল, চলমান কমান্ড, ফলাফলের লাইভ প্রিভিউ — আপনার নিজের হার্ডওয়্যারে একটি কঠোর কনটেইনারের ভেতরে।
01 রসিদ
প্রতিটি কাজ এই ফ্ল্যাগগুলির অধীনে চলে।
এটি সারসংক্ষেপ নয় — এটি প্রতিটি Work কনটেইনারের হার্ডেনিং প্রোফাইল। নীতি বাজেট বদলাতে পারে; এই লাইনগুলি কখনও দুর্বল করতে পারে না।
-
--user 1000:1000 -
--read-only -
--cap-drop ALL -
--security-opt no-new-privileges -
--pids-limit 256 -
--memory 2g --memory-swap 2g -
--cpus 2 -
--network none -
--mount …,dst=/workspace
নিজে যাচাই করুন: যেকোনো Work কনটেইনারে docker inspect চালান।
সিস্টেমে লেখা নেই
ফাইল সিস্টেম কেবল-পাঠযোগ্য। শুধু কাজের নিজস্ব ওয়ার্কস্পেস পরিবর্তন নেয়।
ক্ষমতা বৃদ্ধি নেই
প্রতিটি Linux capability বাদ দেওয়া হয় এবং নতুন বিশেষাধিকার অর্জন অসম্ভব।
চাবিও নেই, সকেটও নেই
স্যান্ডবক্সের ভেতরে কোনো ক্রেডেনশিয়াল, API কী বা কনটেইনার-ইঞ্জিন সকেট নেই।
02 চক্র
কাজের যা দরকার সবই। যা ছোঁয়া উচিত নয় তার কিছুই নয়।
মডেল নির্দিষ্ট টুলসেট দিয়ে কাজ করে, প্রতিটি কল ক্রমানুসারে কাজের কার্যকলাপ লগে জমা হয়।
- write_file
ফাইল ও git — রানের মাঝেও টিকে থাকা ওয়ার্কস্পেসে পড়ুন, লিখুন, সরান ও খুঁজুন, স্থানীয় স্ট্যাটাস, ডিফ, ব্রাঞ্চ ও কমিটসহ।
- run_command
কমান্ড ও টার্মিনাল — সময়, আউটপুট, মেমরি ও প্রসেসের সীমার মধ্যে যা খুশি চালান; দরকারে আসল টার্মিনাল খুলে নিজে হস্তক্ষেপ করুন।
- start_preview
লাইভ প্রিভিউ — চলমান কাজ একটি স্বাক্ষরিত, প্রক্সি করা URL-এ দেখা যায়, যা কখনও আপনার নেটওয়ার্কে প্রকাশ হয় না।
- web_search
ওয়েব অনুসন্ধান — আপনার নিজের SearXNG ইনস্ট্যান্সের মাধ্যমে, প্রশাসক চালু করলে।
03 অপারেটর নিয়ন্ত্রণ
প্রশাসকরাই ঠিক করেন কে কী পাবে।
-
নামযুক্ত নীতি প্রতি কাজে ইমেজ ও রিসোর্স বাজেট ঠিক করে — হার্ডেনিং প্রোফাইল নীতির ক্ষেত্র নয়।
-
আপনি না খোলা পর্যন্ত Work কেবল প্রশাসকদের; ওয়েব অনুসন্ধান, মডেল ডাউনলোড ও এজেন্টের জন্য একই সুইচ।
-
নিষ্ক্রিয় কাজ নিজে থেমে যায় এবং যেখানে ছিল সেখান থেকে শুরু করে — ওয়ার্কস্পেস সবসময় থাকে।
-
Docker সরাসরি প্রস্তুত, বা প্রতি-কাজ ডিস্ক কোটাসহ Kubernetes Pod। দুই ক্ষেত্রেই একই ফ্ল্যাগ।
এমন বিচ্ছিন্নতা যা আপনি পরীক্ষা করতে পারেন।
একটি কনটেইনার: চ্যাট, Work, প্রোভাইডার ও প্রিভিউসহ।