onboard: niente console AWS il primo giorno, e il comando con il percorso vero

L'MFA lo attiva chi amministra, quindi la persona non entra ne' in AWS ne'
in Gitea dal browser. Per configura.sh Claude le da' il comando completo,
con il percorso della cartella su quel PC: la pagina non lo scrive.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -6,8 +6,8 @@ la mail *I tuoi accessi OTO* che le ha mandato chi amministra (link,
 utenti, password, la frase per te) e, su LastPass, la chiave AWS e, se
 le serve, la VPN. **Il lavoro
 lo fai tu**: installi i programmi, lanci i controlli, le dici cosa cliccare.
-Lei fa solo quello che tu non puoi fare: i login nel browser, e scrivere i
-propri segreti nel terminale. Parla semplice, un passo alla volta, e controlla
+Lei fa solo quello che tu non puoi fare: scrivere i propri segreti nel
+terminale e, se le serve, accendere la VPN. Parla semplice, un passo alla volta, e controlla
 ogni passo prima del successivo.
 
 La spiegazione per le persone sta in
@@ -21,7 +21,13 @@ La spiegazione per le persone sta in
    `configura.sh` nel terminale, con l'input nascosto.
 2. **`configura.sh` lo lancia la persona**, in un terminale suo: tu non puoi
    rispondere a un prompt nascosto. Diglielo con le parole giuste per dove
-   lavora (vedi sotto). Tu lanci tutto il resto: installazioni, `verifica.sh`,
+   lavora (vedi sotto), e **dalle il comando completo, da copiare così
+   com'è**: `cd` nel percorso vero della cartella su quel PC (quello in cui
+   l'hai scaricata, che conosci solo tu: la pagina per le persone non lo
+   scrive apposta) e `./configura.sh`, in un blocco di codice, per esempio
+   `cd "/c/Users/mario/Work/workspace/oto/_OTO_IT_onboard" && ./configura.sh`.
+   Su Windows il percorso va nella forma di Git Bash (`/c/Users/...`), non
+   `C:\...`. Tu lanci tutto il resto: installazioni, `verifica.sh`,
    `progetti.sh`, i comandi di sola lettura.
 3. **Non creare accessi e non chiederli.** Utenti AWS e Gitea, VPN, chiavi
    sui server li crea un amministratore. Se manca qualcosa, dillo con
@@ -45,7 +51,6 @@ La spiegazione per le persone sta in
 | Cosa | Dove lo trova o lo crea |
 |---|---|
 | Indirizzo, utente e password di AWS e di Gitea | nella **mail *I tuoi accessi OTO*** che le ha mandato chi amministra: righe già pronte da copiare. Se non ce l'ha, risponde a quella mail o lo chiede a lui: tu non puoi recuperarlo |
-| Codice dal telefono (MFA) di AWS | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Multi-factor authentication (MFA)* → *Assign MFA device* → *Authenticator app*. Serve un'app di autenticazione sul telefono (Google Authenticator, Microsoft Authenticator o simili): se non ce l'ha, prima la installa dallo store |
 | Chiave di accesso AWS (*Access key ID* e *Secret access key*) | in una **nota LastPass** condivisa da chi amministra (non nella mail, apposta): la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
 | Utente Gitea | è nella mail (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo |
 | Email di lavoro | il suo indirizzo `@oto.agency` |
@@ -97,15 +102,12 @@ spiegala in una riga la prima volta.
    dentro la cartella: `git clone https://git.oto-farm.com/admin/_OTO_IT_onboard.git
    ~/Work/workspace/oto/_OTO_IT_onboard` (è pubblico, non ha segreti) e da lì
    continui.
-3. **Il login su AWS nel browser**, lo fa lei. Le password della mail di
-   benvenuto sono già le definitive (dal 07/10/2026): né AWS né Gitea
-   chiedono di cambiarle, e su Gitea dal browser non c'è niente da fare.
-   - **AWS**: entrare dall'indirizzo della mail di benvenuto (*IAM user*,
-     utente e password) e attivare
-     l'MFA. I percorsi esatti sono nella tabella qui sopra: dàglieli un passo
-     alla volta. La chiave di accesso **non** la crea: è già nella nota
-     LastPass. Se lì non c'è, la crea adesso, e lascia aperta la pagina: la
-     parte segreta si vede una volta sola.
+3. **Niente login su AWS né su Gitea nel browser** (deciso il 07/10/2026):
+   le password sono già le definitive e l'MFA di AWS lo attiva chi
+   amministra, con il seme nella nota LastPass. La chiave di accesso **non**
+   la crea: è già nella nota LastPass. Solo se lì non c'è, la crea dalla
+   console AWS (percorso nella tabella qui sopra), entrando con utente e
+   password della mail e il codice a due fattori della nota.
 4. **`./configura.sh`**, nel terminale della persona. Chiede utente e
    password di Gitea e poi i due pezzi della chiave AWS, che lei copia dal
    la nota LastPass; crea l'accesso a