Контроллер входа istio не может назначить общедоступный IP-адрес из-за «Microsoft.Network/publicIPAddresses/join/action»

Я пытаюсь создать службу AKS со статическим предопределенным общедоступным IP-адресом. Для этого я использую терраформ.

Важные части

ресурс "azurerm_public_ip" "public_ip" {
  распределение_метод = "Статический"
  местоположение = azurerm_resource_group.rg.location
  имя = "${local.resource_name_prefix}-PublicIp1"
  resource_group_name = azurerm_resource_group.rg.name
  Артикул = "Стандарт"

  теги = local.common_tags
}

ресурс "azurerm_kubernetes_cluster" "aks" {
  местоположение = azurerm_resource_group.rg.location
  имя = "${local.resource_name_prefix}-акс"
  resource_group_name = azurerm_resource_group.rg.name

  default_node_pool {
    имя = "система"
    vm_size = "Стандарт_DS2_v2"
    vnet_subnet_id = azurerm_subnet.app_subnet.id

    update_settings {
      макс_всплеск = "30"
    }
    
  }
  
  сетевой_профиль {
    сетевой_плагин = "кубенет"
    load_balancer_sku = "Стандартный"
    load_balancer_profile {
      outbound_ip_address_ids = [ azurerm_public_ip.public_ip.id ]
    }
  }

  role_based_access_control {
    включено = верно
  }

  service_principal {
    client_id = var.appId
    client_secret = переменная.пароль
  }
  
}

виртуальная сеть + подсети также предопределены.

теперь при попытке установить istio с помощью установка istioctl, istio-ingressgateway Loadbalancer не работает

{
  "ошибка": {
    "код": "Ошибка связанной авторизации",
    "message": "Клиент 'xxxx' с идентификатором объекта 'xxxx' имеет разрешение на выполнение действия 'Microsoft.Network/loadBalancers/write' в области '/subscriptions/xxxx/resourceGroups/xxx_rg/providers/Microsoft.Network/loadBalancers/ kubernetes», однако у него нет разрешения на выполнение действия «Microsoft.Network/publicIPAddresses/join/action» в связанных областях «/subscriptions/xxx/resourceGroups/xxx-rg/providers/Microsoft.Network/publicIPAddresses». /xxx-PublicIp1' или связанные области недействительны."
  }
}