Vault recebendo token inválido ou revogado

Item	Detalhe
Serviço afetado	Vault
Severidade	aviso
Dispara quando	Mais de 10 requisições ao Vault com token inválido, expirado ou revogado em 10 minutos (invalid token no audit).

O que representa

Pode ser só uma sessão da UI vencida (gera algumas por minuto até a página ser recarregada). Um volume sustentado indica alguém testando um token que vazou (colado em chat, log ou commit) ou um script antigo.

Como verificar no Grafana

• Dashboard Vault: Tokens inválidos, Token inválido e permission denied e Todas as respostas com erro.
• Para o IP real: dashboard nginx, aba Logs, host vault.coderoom.com.br, no mesmo horário.

Como agir

1. Recarregue a UI do Vault: se o volume some, era uma sessão vencida.
2. Se continua, ache a origem (IP no nginx) e o que ela tenta acessar (painel Caminhos mais acessados).
3. Se é um token seu que vazou, revogue (abaixo).

Se for ataque ou incidente real

Token vazado:

1. Veja de quem é: vault token lookup -accessor <accessor> (políticas, criador e validade).
2. Revogue: vault token revoke -accessor <accessor> (ou vault token revoke -self com o próprio token).
3. Gire todo segredo que as políticas desse token podiam ler.
4. Descubra onde o token vazou (chat, log, commit) e apague de lá. Confira no audit o que foi lido enquanto ele valeu.

Casos conhecidos

Sessão da UI vencida em uma aba esquecida aberta.