onboard: accessi nella mail, chiave AWS e VPN su LastPass

Utenti e password arrivano nella mail "I tuoi accessi OTO", pronti da
copiare; la chiave AWS e la VPN (file .ovpn e credenziali) stanno in note
LastPass. Claude installa OpenVPN Connect e guida la persona a scaricare
il file e accendere la VPN. Alla fine lei risponde alla mail.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -2,8 +2,9 @@
 
 Chi ti parla è una persona **nuova in OTO**, spesso non tecnica, al primo
 giorno. Ti ha scritto qualcosa come «prepara il mio PC per OTO» e ha in mano
-solo il messaggio di benvenuto che l'amministratore le ha condiviso su
-LastPass: password e chiave AWS. **Il lavoro
+la mail *I tuoi accessi OTO* che le ha mandato chi amministra (link,
+utenti, password, la frase per te) e, su LastPass, la chiave AWS e, se
+sviluppa, la VPN. **Il lavoro
 lo fai tu**: installi i programmi, lanci i controlli, le dici cosa cliccare.
 Lei fa solo quello che tu non puoi fare: i login nel browser, e scrivere i
 propri segreti nel terminale. Parla semplice, un passo alla volta, e controlla
@@ -43,12 +44,12 @@ La spiegazione per le persone sta in
 
 | Cosa | Dove lo trova o lo crea |
 |---|---|
-| Indirizzo, utente e password di AWS e di Gitea | nel **messaggio di benvenuto**: una nota che chi amministra le ha condiviso su **LastPass**. Se non ce l'ha, lo chiede a lui: tu non puoi recuperarlo |
+| Indirizzo, utente e password di AWS e di Gitea | nella **mail *I tuoi accessi OTO*** che le ha mandato chi amministra: righe già pronte da copiare. Se non ce l'ha, risponde a quella mail o lo chiede a lui: tu non puoi recuperarlo |
 | Codice dal telefono (MFA) di AWS | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Multi-factor authentication (MFA)* → *Assign MFA device* → *Authenticator app*. Serve un'app di autenticazione sul telefono (Google Authenticator, Microsoft Authenticator o simili): se non ce l'ha, prima la installa dallo store |
-| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | nel **messaggio di benvenuto** su LastPass: la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
-| Utente Gitea | è quello del messaggio di benvenuto (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo |
+| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | in una **nota LastPass** condivisa da chi amministra (non nella mail, apposta): la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
+| Utente Gitea | è nella mail (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo |
 | Email di lavoro | il suo indirizzo `@oto.agency` |
-| File della VPN | lo manda chi amministra, che lo riceve dal fornitore. Il programma da installare dipende dal file: `.ovpn` → OpenVPN Connect, `.conf` → WireGuard. Se il file non le è arrivato, lo chiede a chi amministra |
+| File e credenziali della VPN | in una **nota LastPass** condivisa da chi amministra: il file `.ovpn` è allegato alla nota (*Attachments* → si scarica, finisce in *Download*), utente e password della VPN sono scritti nella nota. Il programma è **OpenVPN Connect**, lo installi tu. Se la nota non c'è, lo chiede a chi amministra |
 | Password del Mac (per Homebrew) | è quella con cui accende il Mac |
 | Accesso a un progetto che non vede su Gitea | lo dà chi amministra: dille il nome del progetto da chiedere |
 
@@ -82,32 +83,34 @@ token, push), spiegala in una riga la prima volta.
 1. **Programmi.** Servono git, la AWS CLI, Docker, curl e ssh. Installa
    quello che manca:
    - **Windows**: `winget install -e --id Git.Git`, `Amazon.AWSCLI`,
-     `Docker.DockerDesktop`. Docker vuole WSL2: `wsl --install`, poi un
+     `Docker.DockerDesktop` e, per chi sviluppa,
+     `OpenVPNTechnologies.OpenVPNConnect`. Docker vuole WSL2: `wsl --install`, poi un
      riavvio. Windows chiederà conferma (finestra *Sì/No*): avvisa prima che
      arriva e che va cliccato *Sì*. Dopo un'installazione il `PATH` nuovo lo
      vede solo un terminale nuovo.
    - **Mac**: prima Homebrew. Il suo installatore chiede la password del Mac,
      quindi quel comando lo lancia la persona nel Terminale:
      `/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"`.
-     Poi tu: `brew install git awscli` e `brew install --cask docker`.
+     Poi tu: `brew install git awscli` e `brew install --cask docker`
+     (per chi sviluppa anche `brew install --cask openvpn-connect`).
    - Docker Desktop va **aperto una volta** a mano e le condizioni accettate:
      finché non lo si fa, `docker info` non risponde.
 2. **Questo repository sul PC**, se ci stai parlando da un link e non da
    dentro la cartella: `git clone https://git.oto-farm.com/admin/_OTO_IT_onboard.git
    ~/Work/workspace/oto/_OTO_IT_onboard` (è pubblico, non ha segreti) e da lì
    continui.
-3. **Il login su AWS nel browser**, lo fa lei. Le password del messaggio di
+3. **Il login su AWS nel browser**, lo fa lei. Le password della mail di
    benvenuto sono già le definitive (dal 07/10/2026): né AWS né Gitea
    chiedono di cambiarle, e su Gitea dal browser non c'è niente da fare.
-   - **AWS**: entrare dall'indirizzo del messaggio di benvenuto (*IAM user*,
+   - **AWS**: entrare dall'indirizzo della mail di benvenuto (*IAM user*,
      utente e password) e attivare
      l'MFA. I percorsi esatti sono nella tabella qui sopra: dàglieli un passo
-     alla volta. La chiave di accesso **non** la crea: è già nel messaggio di
-     benvenuto. Se lì non c'è, la crea adesso, e lascia aperta la pagina: la
+     alla volta. La chiave di accesso **non** la crea: è già nella nota
+     LastPass. Se lì non c'è, la crea adesso, e lascia aperta la pagina: la
      parte segreta si vede una volta sola.
 4. **`./configura.sh`**, nel terminale della persona. Chiede utente e
    password di Gitea e poi i due pezzi della chiave AWS, che lei copia dal
-   messaggio di benvenuto su LastPass; crea l'accesso a
+   la nota LastPass; crea l'accesso a
    Gitea, configura git, genera la chiave SSH e la carica sul suo profilo
    Gitea (da lì la prende l'amministratore: **non va mandata a nessuno**),
    scrive i nomi dei server in `~/.ssh/config`. Gitea viene prima apposta: è lui a dire chi è la persona. Se sul PC
@@ -116,9 +119,14 @@ token, push), spiegala in una riga la prima volta.
    l'amministratore, perché quella chiave va disattivata. Una chiave altrui
    non va mai tenuta "intanto che funziona": tutto quello che la persona fa
    su AWS risulterebbe fatto dall'altro.
-5. **VPN** (solo chi sviluppa): installare il programma giusto per il file
-   (vedi tabella) e aprirci dentro il file che le ha mandato chi amministra.
-6. **Dirlo all'amministratore**: «ho finito la configurazione». È il segnale
+5. **VPN** (solo chi sviluppa). OpenVPN Connect l'hai già installato tu; lei,
+   un passo alla volta: apre la nota VPN su LastPass e scarica il file
+   `.ovpn` allegato; apre OpenVPN Connect → *Upload File* (o *Import
+   Profile* → *File*) → *Browse* → il file in *Download*; scrive utente e
+   password della VPN dalla stessa nota, spunta *Save password*, *Connect*.
+   È accesa quando l'interruttore diventa verde (*Connected*).
+6. **Dirlo all'amministratore**: risponde alla mail *I tuoi accessi OTO*
+   scrivendo «ho finito la configurazione». È il segnale
    per mettere la sua chiave SSH sui server; finché non lo fa, staging resta
    rosso.
 7. **`./verifica.sh`**: tutto verde, o un elenco preciso di cosa manca e a chi