自定义Azure Policy针对AKS Deployment资源无匹配效果的问题求助

大家好，我正在尝试为AKS部署创建一个自定义Azure策略，目的是检查每个Pod所属的Deployment是否配置了2个副本。我拿Azure内置的Policy作为模板改了一个测试版本，Rego脚本暂时写的是拒绝所有请求——当policyRule里的kinds设为Pod时，这个自定义策略能正常触发效果，完全没问题。

但当我把kinds改成Deployment之后，策略就彻底没反应了。我特意在Rego脚本里加了打印逻辑，结果发现根本没收到任何Deployment对象的请求，看起来策略的匹配逻辑完全没命中Deployment资源。我确认Deployment是Kubernetes里的合法资源类型，但就是搞不懂为什么Azure Policy不匹配它。

下面是我当前的policyRule配置：

"policyRule": {
  "if": {
    "field": "type",
    "in": [
      "Microsoft.Kubernetes/connectedClusters",
      "Microsoft.ContainerService/managedClusters"
    ]
  },
  "then": {
    "effect": "[parameters('effect')]",
    "details": {
      "templateInfo": {
        "sourceType": "PublicURL",
        "url": "<我的测试用Rego脚本地址>"
      },
      "apiGroups": [
        ""
      ],
      "kinds": [
        "Deployment"
      ],
      "excludedNamespaces": "[parameters('excludedNamespaces')]",
      "namespaces": "[parameters('namespaces')]",
      "labelSelector": "[parameters('labelSelector')]",
      "values": {
        "excludedContainers": "[parameters('excludedContainers')]",
        "excludedImages": "[parameters('excludedImages')]"
      }
    }
  }
}

有没有大佬遇到过类似的问题？或者能帮我排查下哪里配置出错了吗？

备注：内容来源于stack exchange，提问作者Kjempen