From 0ab5518a36898a1eaeb3aa791c1573806082848e Mon Sep 17 00:00:00 2001 From: Fabio Date: Wed, 7 Oct 2026 14:26:34 +0200 Subject: [PATCH] configura.sh: la chiave AWS si copia dal messaggio di benvenuto su LastPass La crea chi amministra insieme all'utente. La strada della console resta come riserva, per chi e' arrivato prima o l'ha persa. Co-Authored-By: Claude Opus 5.5 --- CLAUDE.md | 22 ++++++++++++---------- README.md | 2 ++ configura.sh | 18 +++++++++++------- 3 files changed, 25 insertions(+), 17 deletions(-) diff --git a/CLAUDE.md b/CLAUDE.md index e062e81..bf1ceee 100644 --- a/CLAUDE.md +++ b/CLAUDE.md @@ -2,7 +2,8 @@ Chi ti parla è una persona **nuova in OTO**, spesso non tecnica, al primo giorno. Ti ha scritto qualcosa come «prepara il mio PC per OTO» e ha in mano -solo le password provvisorie che le ha mandato l'amministratore. **Il lavoro +solo il messaggio di benvenuto che l'amministratore le ha condiviso su +LastPass: password provvisorie e chiave AWS. **Il lavoro lo fai tu**: installi i programmi, lanci i controlli, le dici cosa cliccare. Lei fa solo quello che tu non puoi fare: i login nel browser, e scrivere i propri segreti nel terminale. Parla semplice, un passo alla volta, e controlla @@ -42,10 +43,10 @@ La spiegazione per le persone sta in | Cosa | Dove lo trova o lo crea | |---|---| -| Indirizzo, utente e password provvisoria di AWS e di Gitea | nel **messaggio di benvenuto** che le ha mandato chi amministra. Se non ce l'ha, lo chiede a lui: tu non puoi recuperarlo | +| Indirizzo, utente e password provvisoria di AWS e di Gitea | nel **messaggio di benvenuto**: una nota che chi amministra le ha condiviso su **LastPass**. Se non ce l'ha, lo chiede a lui: tu non puoi recuperarlo | | Password nuova di AWS | la sceglie lei: AWS la chiede subito dopo il primo login, nella pagina che si apre da sola | | Codice dal telefono (MFA) di AWS | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Multi-factor authentication (MFA)* → *Assign MFA device* → *Authenticator app*. Serve un'app di autenticazione sul telefono (Google Authenticator, Microsoft Authenticator o simili): se non ce l'ha, prima la installa dallo store | -| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra | +| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | nel **messaggio di benvenuto** su LastPass: la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra | | Password nuova di Gitea | la sceglie lei: `https://git.oto-farm.com` → *Sign in* in alto a destra → utente e password provvisoria; Gitea chiede subito quella nuova | | Utente Gitea | è quello del messaggio di benvenuto (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo | | Email di lavoro | il suo indirizzo `@oto.agency` | @@ -99,19 +100,20 @@ token, push), spiegala in una riga la prima volta. continui. 3. **I login nel browser**, li fa lei: - **AWS**: entrare dall'indirizzo del messaggio di benvenuto (*IAM user*, - utente e password provvisoria), scegliere la password nuova, attivare - l'MFA e creare la chiave di accesso. I percorsi esatti sono nella tabella - qui sopra: dàglieli un passo alla volta. **Lasciare aperta la pagina - della chiave**: la parte segreta si vede una volta sola. + utente e password provvisoria), scegliere la password nuova e attivare + l'MFA. I percorsi esatti sono nella tabella qui sopra: dàglieli un passo + alla volta. La chiave di accesso **non** la crea: è già nel messaggio di + benvenuto. Se lì non c'è, la crea adesso, e lascia aperta la pagina: la + parte segreta si vede una volta sola. - **Gitea** (`https://git.oto-farm.com`, *Sign in* in alto a destra): entrare con la password provvisoria e sceglierne una nuova. Nient'altro: il token lo crea lo script. 4. **`./configura.sh`**, nel terminale della persona. Chiede utente e - password di Gitea e poi i due pezzi della chiave AWS; crea l'accesso a + password di Gitea e poi i due pezzi della chiave AWS, che lei copia dal + messaggio di benvenuto su LastPass; crea l'accesso a Gitea, configura git, genera la chiave SSH e la carica sul suo profilo Gitea (da lì la prende l'amministratore: **non va mandata a nessuno**), - scrive i nomi dei server in `~/.ssh/config`. Poi fa chiudere la pagina di - AWS. Gitea viene prima apposta: è lui a dire chi è la persona. Se sul PC + scrive i nomi dei server in `~/.ssh/config`. Gitea viene prima apposta: è lui a dire chi è la persona. Se sul PC c'è già una chiave AWS **di un altro** (rimasta da chi lo usava, o copiata da un collega), lo script lo dice e chiede la sua: dille di avvisare l'amministratore, perché quella chiave va disattivata. Una chiave altrui diff --git a/README.md b/README.md index 5069110..c255e39 100644 --- a/README.md +++ b/README.md @@ -14,6 +14,8 @@ scaricano i progetti stessi da AWS, con il tuo accesso personale. Il resto lo fa Claude: installa i programmi e ti dice cosa cliccare. Tu fai i login nel browser e scrivi le tue chiavi nel terminale quando te lo chiede. +Password provvisorie e chiave AWS sono nel messaggio di benvenuto, la nota +che chi amministra ti ha condiviso su LastPass. ## Una regola diff --git a/configura.sh b/configura.sh index ccd56a6..ebaa6ca 100755 --- a/configura.sh +++ b/configura.sh @@ -4,7 +4,7 @@ # # ./configura.sh # -# Si lancia nel proprio terminale: chiede la password Gitea e le chiavi AWS +# Si lancia nel proprio terminale: chiede la password Gitea e la chiave AWS # con l'input nascosto, e un assistente AI non puo' rispondere al posto tuo. # Si puo' rilanciare: quello che e' gia' a posto non viene toccato. # Non crea accessi: quelli li crea un amministratore, qui si usano. @@ -76,16 +76,20 @@ fi # -------------------------------------------------------------------------- titolo "2. AWS" # -------------------------------------------------------------------------- -# La chiave di accesso la crea la persona dalla console (Security -# credentials → Create access key): qui la si incolla una volta e finisce in -# ~/.aws/credentials, dove la leggono la AWS CLI e gli script dei progetti. +# La chiave di accesso la crea chi amministra insieme all'utente, e la +# persona la trova nel messaggio di benvenuto su LastPass: qui la si incolla +# una volta e finisce in ~/.aws/credentials, dove la leggono la AWS CLI e gli +# script dei progetti. Se non ce l'ha (e' arrivata prima, o l'ha persa), se +# ne crea una dalla console: la strada e' scritta qui sotto. # # Viene dopo Gitea apposta: e' Gitea, con la password, a dire chi e' la # persona. Una chiave gia' presente sul PC non basta a dirlo: puo' essere # rimasta da chi lo usava prima, o copiata da un collega, e allora tutto # quello che la persona fa su AWS risulterebbe fatto da un altro. chiedi_chiave_aws () { - echo " Serve la tua chiave di accesso AWS, due pezzi. La crei tu, nella console AWS:" + echo " Serve la tua chiave di accesso AWS, due pezzi: Access key ID e Secret access key." + echo " Li trovi nel messaggio di benvenuto, nella nota LastPass che ti ha condiviso" + echo " chi amministra. Se li' non c'e', la crei tu nella console AWS:" echo " 1. entra su $AWS_CONSOLE (IAM user, utente e password" echo " del messaggio di benvenuto);" echo " 2. il tuo nome in alto a destra → Security credentials;" @@ -107,9 +111,9 @@ chiedi_chiave_aws () { aws configure set region "$AWS_REGIONE" unset CHIAVE_SEGRETA if ! IDENTITA="$(aws sts get-caller-identity --query Arn --output text 2> /dev/null)" ; then - male "AWS non accetta questa chiave: controlla di aver copiato i due pezzi interi, o creane un'altra." + male "AWS non accetta questa chiave: controlla di aver copiato i due pezzi interi, senza scambiarli, e rilancia." elif [ -n "$UTENTE" ] && [ "${IDENTITA##*/}" != "$UTENTE" ] ; then - male "questa chiave e' di ${IDENTITA##*/}, non tua ($UTENTE): crea la tua dalla console AWS, entrando col tuo utente, e rilancia." + male "questa chiave e' di ${IDENTITA##*/}, non tua ($UTENTE): usa quella del tuo messaggio di benvenuto, e rilancia." else ok "accesso AWS: ${IDENTITA##*/}" fi