AKS下Istio Ingress Controller因join/action权限错误无法分配预定义公网IP

你遇到的LinkedAuthorizationFailed错误是因为AKS集群使用的服务主体没有预定义静态公网IP对应的权限，无法将负载均衡资源与该公网IP进行关联。
你配置中AKS使用的是var.appId对应的服务主体，该身份仅有负载均衡的写入权限，缺少公网IP资源的Microsoft.Network/publicIPAddresses/join/action操作权限。

• 第一步：给AKS服务主体分配公网IP所在资源组的对应权限
  可以直接分配「网络参与者」系统角色，权限命令如下：

  az role assignment create --assignee <AKS服务主体的ClientID（即var.appId的值）> --role "Network Contributor" --scope /subscriptions/<你的订阅ID>/resourceGroups/<公网IP所在的资源组名称>
  

  如果你需要最小权限控制，也可以自定义仅包含Microsoft.Network/publicIPAddresses/join/action权限的自定义角色分配给该服务主体。

• 第二步：校验Istio Ingress Gateway配置（如果指定使用该静态IP作为入口IP）
  如果你的Istio安装配置中指定了用该预创建静态IP作为Ingress入口IP，需要额外确认配置：
  公网IP所在资源组如果不是AKS自动生成的MC_开头的节点资源组，需要给istio-ingressgateway的Service资源添加如下annotation：

  annotations:
    service.beta.kubernetes.io/azure-load-balancer-resource-group: <你的公网IP所在资源组名称>
  

  你当前配置中公网IP与AKS负载均衡的SKU均为Standard、区域同属资源组所在区域，无需额外调整。

• 第三步：重新安装Istio
  权限配置生效后重新执行istioctl install命令即可正常创建Loadbalancer类型的istio-ingressgateway服务。

内容的提问来源于stack exchange，提问作者royB