configura.sh: la chiave AWS si copia dal messaggio di benvenuto su LastPass

La crea chi amministra insieme all'utente. La strada della console resta
come riserva, per chi e' arrivato prima o l'ha persa.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -2,7 +2,8 @@
 
 Chi ti parla è una persona **nuova in OTO**, spesso non tecnica, al primo
 giorno. Ti ha scritto qualcosa come «prepara il mio PC per OTO» e ha in mano
-solo le password provvisorie che le ha mandato l'amministratore. **Il lavoro
+solo il messaggio di benvenuto che l'amministratore le ha condiviso su
+LastPass: password provvisorie e chiave AWS. **Il lavoro
 lo fai tu**: installi i programmi, lanci i controlli, le dici cosa cliccare.
 Lei fa solo quello che tu non puoi fare: i login nel browser, e scrivere i
 propri segreti nel terminale. Parla semplice, un passo alla volta, e controlla
@@ -42,10 +43,10 @@ La spiegazione per le persone sta in
 
 | Cosa | Dove lo trova o lo crea |
 |---|---|
-| Indirizzo, utente e password provvisoria di AWS e di Gitea | nel **messaggio di benvenuto** che le ha mandato chi amministra. Se non ce l'ha, lo chiede a lui: tu non puoi recuperarlo |
+| Indirizzo, utente e password provvisoria di AWS e di Gitea | nel **messaggio di benvenuto**: una nota che chi amministra le ha condiviso su **LastPass**. Se non ce l'ha, lo chiede a lui: tu non puoi recuperarlo |
 | Password nuova di AWS | la sceglie lei: AWS la chiede subito dopo il primo login, nella pagina che si apre da sola |
 | Codice dal telefono (MFA) di AWS | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Multi-factor authentication (MFA)* → *Assign MFA device* → *Authenticator app*. Serve un'app di autenticazione sul telefono (Google Authenticator, Microsoft Authenticator o simili): se non ce l'ha, prima la installa dallo store |
-| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
+| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | nel **messaggio di benvenuto** su LastPass: la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
 | Password nuova di Gitea | la sceglie lei: `https://git.oto-farm.com` → *Sign in* in alto a destra → utente e password provvisoria; Gitea chiede subito quella nuova |
 | Utente Gitea | è quello del messaggio di benvenuto (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo |
 | Email di lavoro | il suo indirizzo `@oto.agency` |
@@ -99,19 +100,20 @@ token, push), spiegala in una riga la prima volta.
    continui.
 3. **I login nel browser**, li fa lei:
    - **AWS**: entrare dall'indirizzo del messaggio di benvenuto (*IAM user*,
-     utente e password provvisoria), scegliere la password nuova, attivare
-     l'MFA e creare la chiave di accesso. I percorsi esatti sono nella tabella
-     qui sopra: dàglieli un passo alla volta. **Lasciare aperta la pagina
-     della chiave**: la parte segreta si vede una volta sola.
+     utente e password provvisoria), scegliere la password nuova e attivare
+     l'MFA. I percorsi esatti sono nella tabella qui sopra: dàglieli un passo
+     alla volta. La chiave di accesso **non** la crea: è già nel messaggio di
+     benvenuto. Se lì non c'è, la crea adesso, e lascia aperta la pagina: la
+     parte segreta si vede una volta sola.
    - **Gitea** (`https://git.oto-farm.com`, *Sign in* in alto a destra):
      entrare con la password provvisoria e sceglierne una nuova. Nient'altro:
      il token lo crea lo script.
 4. **`./configura.sh`**, nel terminale della persona. Chiede utente e
-   password di Gitea e poi i due pezzi della chiave AWS; crea l'accesso a
+   password di Gitea e poi i due pezzi della chiave AWS, che lei copia dal
+   messaggio di benvenuto su LastPass; crea l'accesso a
    Gitea, configura git, genera la chiave SSH e la carica sul suo profilo
    Gitea (da lì la prende l'amministratore: **non va mandata a nessuno**),
-   scrive i nomi dei server in `~/.ssh/config`. Poi fa chiudere la pagina di
-   AWS. Gitea viene prima apposta: è lui a dire chi è la persona. Se sul PC
+   scrive i nomi dei server in `~/.ssh/config`. Gitea viene prima apposta: è lui a dire chi è la persona. Se sul PC
    c'è già una chiave AWS **di un altro** (rimasta da chi lo usava, o copiata
    da un collega), lo script lo dice e chiede la sua: dille di avvisare
    l'amministratore, perché quella chiave va disattivata. Una chiave altrui