Controlerul de intrare istio nu reușește să atribuie ip public din cauza „Microsoft.Network/publicIPAddresses/join/action”

Încerc să creez un serviciu AKS cu IP public static predefinit. Pentru asta folosesc terraform.

Părțile importante

resursa „azurerm_public_ip” „public_ip” {
  allocation_method = "Static"
  locație = azurerm_resource_group.rg.location
  nume = "${local.resource_name_prefix}-PublicIp1"
  resource_group_name = azurerm_resource_group.rg.name
  sku = „Standard”

  tags = local.common_tags
}

resursa „azurerm_kubernetes_cluster” „aks” {
  locație = azurerm_resource_group.rg.location
  nume = "${local.resource_name_prefix}-aks"
  resource_group_name = azurerm_resource_group.rg.name

  default_node_pool {
    nume = "sistem"
    vm_size = „Standard_DS2_v2”
    vnet_subnet_id = azurerm_subnet.app_subnet.id

    upgrade_settings {
      max_surge = "30"
    }
    
  }
  
  network_profile {
    network_plugin = "kubenet"
    load_balancer_sku = „Standard”
    load_balancer_profile {
      outbound_ip_address_ids = [ azurerm_public_ip.public_ip.id ]
    }
  }

  control_acces_pe_rol {
    activat = adevărat
  }

  service_principal {
    client_id = var.appId
    client_secret = var.parolă
  }
  
}

rețeaua virtuală + subrețele sunt de asemenea predefinite.

acum când încerc să instalez istio folosind istioctl install, istio-ingressgateway Loadbalancer nu reușește

{
  „eroare”: {
    "code": "LinkedAuthorizationFailed",
    „message”: „Clientul „xxxxx” cu ID de obiect „xxxx” are permisiunea de a efectua acțiunea „Microsoft.Network/loadBalancers/write” pe domeniul de aplicare „/subscriptions/xxxx/resourceGroups/xxx_rg/providers/Microsoft.Network/loadBalancers/ kubernetes”; cu toate acestea, nu are permisiunea de a efectua acțiunea „Microsoft.Network/publicIPAddresses/join/action” pe domeniul(ele) conectat(e) „/subscriptions/xxx/resourceGroups/xxx-rg/providers/Microsoft.Network/publicIPAddresses /xxx-PublicIp1’ sau domeniul(ele) asociat(e) sunt nevalide.”
  }
}