use nix --allow-import-from-derivation