onboard: ogni domanda dice dove si trova o si crea la risposta

Regola nuova nel CLAUDE.md e tabella "cosa le chiedi e dove lo trova".
configura.sh dice da dove vengono utente e password Gitea, l'email e i
passi della console per la chiave AWS (AWS_CONSOLE in comune.sh);
verifica.sh rimanda a configura.sh invece che ad aws configure.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -29,6 +29,29 @@ La spiegazione per le persone sta in
    Lo dici e prosegui.
 5. **Non copiare file da altri PC** e non proporlo: se a un progetto manca un
    segreto, va messo su AWS SSM da un amministratore.
+6. **Ogni volta che le chiedi qualcosa, le dici dove lo trova o dove lo
+   crea.** Non "inserisci la chiave AWS", ma "la crei nella console AWS: il
+   tuo nome in alto a destra → Security credentials → …". Indirizzo, menu e
+   pulsante, con i nomi come li vede sullo schermo (in inglese, se la pagina
+   è in inglese). Se lei non trova un pulsante, chiedile cosa vede invece di
+   ripetere lo stesso percorso. Dove sta ogni cosa è nella tabella qui sotto:
+   se le chiedi qualcosa che non c'è, prima trova dove si prende e aggiungilo
+   alla tabella.
+
+## Cosa le chiedi e dove lo trova
+
+| Cosa | Dove lo trova o lo crea |
+|---|---|
+| Indirizzo, utente e password provvisoria di AWS e di Gitea | nel **messaggio di benvenuto** che le ha mandato chi amministra. Se non ce l'ha, lo chiede a lui: tu non puoi recuperarlo |
+| Password nuova di AWS | la sceglie lei: AWS la chiede subito dopo il primo login, nella pagina che si apre da sola |
+| Codice dal telefono (MFA) di AWS | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Multi-factor authentication (MFA)* → *Assign MFA device* → *Authenticator app*. Serve un'app di autenticazione sul telefono (Google Authenticator, Microsoft Authenticator o simili): se non ce l'ha, prima la installa dallo store |
+| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
+| Password nuova di Gitea | la sceglie lei: `https://git.oto-farm.com` → *Sign in* in alto a destra → utente e password provvisoria; Gitea chiede subito quella nuova |
+| Utente Gitea | è quello del messaggio di benvenuto (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo |
+| Email di lavoro | il suo indirizzo `@oto.agency` |
+| File della VPN | lo manda chi amministra, che lo riceve dal fornitore. Il programma da installare dipende dal file: `.ovpn` → OpenVPN Connect, `.conf` → WireGuard. Se il file non le è arrivato, lo chiede a chi amministra |
+| Password del Mac (per Homebrew) | è quella con cui accende il Mac |
+| Accesso a un progetto che non vede su Gitea | lo dà chi amministra: dille il nome del progetto da chiedere |
 
 ## Dove sei
 
@@ -75,13 +98,14 @@ token, push), spiegala in una riga la prima volta.
    ~/Work/workspace/oto/_OTO_IT_onboard` (è pubblico, non ha segreti) e da lì
    continui.
 3. **I login nel browser**, li fa lei:
-   - **AWS** (indirizzo e password provvisoria nel messaggio dell'amministratore):
-     scegliere la password nuova, attivare l'MFA (*il suo nome in alto a destra
-     → Security credentials → Assign MFA device*, con un'app sul telefono), poi
-     nella stessa pagina *Create access key*, uso *Command Line Interface*.
-     **Lasciare aperta la pagina**: la chiave segreta si vede una volta sola.
-   - **Gitea** (`https://git.oto-farm.com`): entrare con la password provvisoria
-     e sceglierne una nuova. Nient'altro: il token lo crea lo script.
+   - **AWS**: entrare dall'indirizzo del messaggio di benvenuto (*IAM user*,
+     utente e password provvisoria), scegliere la password nuova, attivare
+     l'MFA e creare la chiave di accesso. I percorsi esatti sono nella tabella
+     qui sopra: dàglieli un passo alla volta. **Lasciare aperta la pagina
+     della chiave**: la parte segreta si vede una volta sola.
+   - **Gitea** (`https://git.oto-farm.com`, *Sign in* in alto a destra):
+     entrare con la password provvisoria e sceglierne una nuova. Nient'altro:
+     il token lo crea lo script.
 4. **`./configura.sh`**, nel terminale della persona. Chiede utente e
    password di Gitea e poi i due pezzi della chiave AWS; crea l'accesso a
    Gitea, configura git, genera la chiave SSH e la carica sul suo profilo
@@ -93,8 +117,8 @@ token, push), spiegala in una riga la prima volta.
    l'amministratore, perché quella chiave va disattivata. Una chiave altrui
    non va mai tenuta "intanto che funziona": tutto quello che la persona fa
    su AWS risulterebbe fatto dall'altro.
-5. **VPN** (solo chi sviluppa): installare il client e importare il file
-   arrivato dal fornitore.
+5. **VPN** (solo chi sviluppa): installare il programma giusto per il file
+   (vedi tabella) e aprirci dentro il file che le ha mandato chi amministra.
 6. **Dirlo all'amministratore**: «ho finito la configurazione». È il segnale
    per mettere la sua chiave SSH sui server; finché non lo fa, staging resta
    rosso.