Azureで権限の付け方がわからない

Question

前提・実現したいこと

Azure kubernetesで静的ipアドレスを設定したいのですが，でpublic ipアドレスを読む権限がないといった趣旨のエラーメッセージが出ます．

発生している問題・エラーメッセージ

Name:                     kube-sample
Namespace:                default
Labels:                   <none>
Annotations:              service.beta.kubernetes.io/azure-load-balancer-resource-group: myResourceGroup
Selector:                 app=kube-sample
Type:                     LoadBalancer
IP Families:              <none>
IP:                       
IPs:                      <none>
IP:                       
Port:                     <unset>  443/TCP
TargetPort:               443/TCP
NodePort:                 <unset>  32430/TCP
Endpoints:                <none>
Session Affinity:         None
External Traffic Policy:  Cluster
Events:
  Type     Reason                   Age                 From                  Message
  ----     ------                   ----                ----                  -------
  Normal   EnsuringLoadBalancer     26h (x43 over 29h)  service-controller    Ensuring load balancer
  Warning  ListPublicIPs            26h (x43 over 29h)  azure-cloud-provider  Retriable: false, RetryAfter: 0s, HTTPStatusCode: 403, RawError: Retriable: false, RetryAfter: 0s, HTTPStatusCode: 403, RawError: {"error":{"code":"AuthorizationFailed","message":"The client '' with object id '' does not have authorization to perform action 'Microsoft.Network/publicIPAddresses/read' over scope '/subscriptions//resourceGroups/myResourceGroup/providers/Microsoft.Network' or the scope is invalid. If access was recently granted, please refresh your credentials."}}
  Warning  UnAvailableLoadBalancer  77s                 service-controller    There are no available nodes for LoadBalancer
  Normal   UpdatedLoadBalancer      52s                 service-controller    Updated load balancer with new hosts
  Normal   EnsuringLoadBalancer     41s (x5 over 117s)  service-controller    Ensuring load balancer
  Warning  ListPublicIPs            41s (x5 over 116s)  azure-cloud-provider  Retriable: false, RetryAfter: 0s, HTTPStatusCode: 403, RawError: Retriable: false, RetryAfter: 0s, HTTPStatusCode: 403, RawError: {"error":{"code":"AuthorizationFailed","message":"The client '<client id>' with object id '<object id>' does not have authorization to perform action 'Microsoft.Network/publicIPAddresses/read' over scope '/subscriptions/<subscription id>/resourceGroups/myResourceGroup/providers/Microsoft.Network' or the scope is invalid. If access was recently granted, please refresh your credentials."}}
  Warning  SyncLoadBalancerFailed   41s (x5 over 116s)  service-controller    Error syncing load balancer: failed to ensure load balancer: Retriable: false, RetryAfter: 0s, HTTPStatusCode: 403, RawError: Retriable: false, RetryAfter: 0s, HTTPStatusCode: 403, RawError: {"error":{"code":"AuthorizationFailed","message":"The client '<client id>' with object id '<object id>' does not have authorization to perform action 'Microsoft.Network/publicIPAddresses/read' over scope '/subscriptions/<subscription id>/resourceGroups/myResourceGroup/providers/Microsoft.Network' or the scope is invalid. If access was recently granted, please refresh your credentials."}}

試したこと

サービスプリンシパル周りを試したり，ロールを追加したりしました．うまく行っていなかったのかと何度かロールの追加をしたりしたので複数あったりちょっとごちゃごちゃしています．ネットワーク共同管理者では権限が足りないのかと一番強そうな所有者権限を増やしたりしてみましたが，解決せず，ネットワーク共同管理者で十分なことは調べてわかりました．正直どこがどうなってどこに権限が足りないのかもうわかりません．そんなものpublic ipが必要な構成にこっちがしてるんだから察せよて思います．普段web的なのは死んでも触らない人なのでとても腹立たしいです．
かれこれ10日はこうして悩んでいます．助けてください．

ちなみに実現したいことは，ASP.Net，nginx2つのコンテナーを一つのpodにのせたサイドカー構成です．
静的public ipアドレスでエンドポイントは一つ，
yamlでのデプロイ時のreplicaは1つで，podのオートスケールを使ってcpu負荷によって最大3つまでpodが増える様にしたいです．(ネットワーク系の用語まだ完全にはわからないんですけど自分の言ってることおかしくないですよね？)
コンテナはここの記述のものを流用します．
https://docs.microsoft.com/ja-jp/azure/container-instances/container-instances-container-group-ssl

デプロイのyamlです

apiVersion: apps/v1
kind: Deployment
metadata:
  name: kube-sample
spec:
  replicas: 1
  selector:
    matchLabels:
      app: kube-sample
  template:
    metadata:
      labels:
        app: kube-sample
    spec:
      volumes:
      - name: nginx-config
        configMap:
          name: nginx-config
      - name: nginx-ssl
        secret:
          secretName: nginx-ssl
      containers:
      - name: app
        image: mcr.microsoft.com/azuredocs/aci-helloworld
        resources:
          requests:
            cpu: 100m
            memory: 128Mi
          limits:
            cpu: 250m
            memory: 256Mi
        ports:
        - containerPort:  80
      - name: side-car
        image: nginx
        ports:
        - containerPort: 443
        resources:
          requests:
            cpu: 100m
            memory: 128Mi
          limits:
            cpu: 250m
            memory: 256Mi
        volumeMounts:
        - name: nginx-config
          mountPath: /etc/nginx
          readOnly: true
        - name: nginx-ssl
          mountPath: /etc/nginx/ssl
          readOnly: true
---
apiVersion: v1
kind: Service
metadata:
  annotations:
    service.beta.kubernetes.io/azure-load-balancer-resource-group: myResourceGroup
  name: kube-sample
spec:
  loadBalancerIP: <ip address>
  type: LoadBalancer
  ports:
  - port: 443
  selector:
    app: kube-sample

今回の問題とは関係ないとは思いますが一応貼っておきます．

Answer 1

こんにちは。

うろ覚えなのですが、もし未解決であればもう確認済みかもしれませんが、コメントがまだついていないのでこのあたり確認・試してみてはいかがでしょうかということで。

同一リソースグループにパブリックIPを作成するのと、パブリックIPのクラスがスタンダード以上だと○○など挙動の制限や違いがあった気がします。
https://docs.microsoft.com/en-us/azure/aks/static-ip

私はそれだけでLBにパブリックIPの関連付けが出来ていましたが、上記にはクラスターIDの権限委任についても言及されているので、そのあたりも確認してみると良いかもしれません。