如何在InSpec中仅让单个Control以sudo权限运行？

当然可以！你完全不需要拆分配置文件——InSpec本身就支持为单个Control（甚至单个测试项）单独设置sudo权限，和Ansible的become功能逻辑一致，具体有两种实用方式：

1. 为整个Control启用sudo权限 #

如果某个Control下的所有测试都需要root权限，可以直接在Control块中添加sudo true属性，这样整个Control内的所有检查都会以sudo身份执行，其他未标记的Control依然保持普通用户权限：

control 'system-service-validation' do
  impact 1.0
  title '验证核心系统服务状态'
  desc '确保关键服务处于运行并启用状态'
  # 仅当前Control使用sudo权限
  sudo true

  describe service('sshd') do
    it { should be_running }
    it { should be_enabled }
  end

  describe file('/etc/ssh/sshd_config') do
    it { should exist }
    its('mode') { should cmp '0600' }
  end
end

2. 为单个测试项（it块）启用sudo权限 #

如果一个Control里只有部分检查需要root权限，可以针对单个describe块单独追加.sudo(true)，精准控制权限范围：

control 'mixed-permission-tests' do
  impact 0.7
  title '混合权限测试示例'
  desc '部分检查以普通用户执行，部分以root执行'

  # 普通用户权限的检查：验证普通用户的配置文件
  describe file('/home/ubuntu/.profile') do
    it { should exist }
    its('owner') { should eq 'ubuntu' }
  end

  # 仅这个检查使用sudo权限：验证root用户的配置文件
  describe file('/root/.profile') do
    it { should exist }
    its('owner') { should eq 'root' }
  end.sudo(true)
end

运行注意事项 #

执行整个profile时不需要加--sudo参数，InSpec会自动识别标记了sudo的部分，仅对这些检查提升权限，其余检查保持普通用户身份运行，完美模拟真实的多权限场景。

内容的提问来源于stack exchange，提问作者apr_1985