Vault com várias falhas de login seguidas

Item	Detalhe
Serviço afetado	Vault
Severidade	aviso
Dispara quando	Mais de 5 logins sem token (senha errada, usuário inexistente ou OIDC falho) em 10 minutos, vistos no audit do Vault.

O que representa

Alguém tentando entrar no cofre de segredos. Pelo domínio público o userpass e o approle estão bloqueados no nginx (TN5.3), então as falhas vêm do OIDC ou de um login por dentro do container (docker exec). O IP que o Vault registra é o do nginx na rede Docker, não o do cliente.

Como verificar no Grafana

• Dashboard Vault (pasta Services): Logins que falharam, Logins por resultado e a tabela Falhas de login recentes (caminho e horário).
• Para o IP real: dashboard nginx, aba Logs, filtre o host vault.coderoom.com.br no horário da falha.

Como agir

1. Veja o caminho da falha: auth/oidc/... (alguém do time errando o login Keycloak) ou auth/userpass/... (não deveria vir de fora: investigue).
2. Se parece adivinhação de senha, troque a senha do usuário alvo (UI: Access control, Authentication methods, userpass, Users).
3. Achando o IP no nginx, bloqueie (abaixo).

Se for ataque ou incidente real

Tentativa de adivinhar senha, ou falha de userpass que veio de fora:

1. Troque a senha do usuário alvo e, se houver dúvida de que a senha já vazou, a de todos os usuários userpass.
2. Adicione deny <ip>; (ou a faixa, deny <ip>/24;) no server do host atingido, em nginx/conf/ do repositório reverse-proxy.
3. Urgente: aplique na VM e recarregue com docker exec nginx nginx -s reload; depois abra o PR com a mesma mudança (deploy é manual).
4. Confira o audit do Vault (painel Caminhos mais acessados): se algum login deu certo logo depois das falhas, revogue o token (página vault-invalid-token) e veja o que ele leu.

Casos conhecidos

Alguém do time errando a senha do login OIDC algumas vezes.