给运行中的 EC2 实例附加包含 AmazonSSMManagedInstanceCore 的 Instance Profile 后，实例有时不会马上出现在 Systems Manager 中。等几分钟、重启 Agent，甚至等待接近半小时后又会自行恢复。

这通常不是 IAM 策略写错，而是控制面传播、Agent 凭证生命周期和失败退避共同造成的结果。理解这几层延迟后，就能避免反复解绑角色、重装 Agent 或修改网络。

在 AD + SAML 联合身份场景下，用户可能通过同一个高权限 IAM Role 登录 AWS 控制台。如果只想限制其中一部分用户不能使用 Session Manager 或 EC2 Instance Connect 登录实例，可以用 aws:userid 条件键做显式 Deny。