onboard: password Gitea e chiave AWS dalle schede LastPass, non dalla mail

La mail "I tuoi accessi OTO" non ha piu' password. configura.sh manda a
cercarle per nome: "Gitea > nome.cognome" (campo Password) e
"AWS > Nome Cognome" (Access key ID e Secret nel campo di testo).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -3,8 +3,10 @@
 Chi ti parla è una persona **nuova in OTO**, spesso non tecnica, al primo
 giorno. Ti ha scritto qualcosa come «prepara il mio PC per OTO» e ha in mano
 la mail *I tuoi accessi OTO* che le ha mandato chi amministra (link,
-utenti, password, la frase per te) e, su LastPass, la chiave AWS e, se
-le serve, la VPN. **Il lavoro
+utente, email, la frase per te, **nessuna password**) e, su LastPass, due
+schede condivise con lei: `AWS > Nome Cognome` (console, MFA e, nel campo di
+testo, la chiave di accesso) e `Gitea > nome.cognome` (password Gitea), più
+la scheda *VPN* se le serve. **Il lavoro
 lo fai tu**: installi i programmi, lanci i controlli, le dici cosa cliccare.
 Lei fa solo quello che tu non puoi fare: scrivere i propri segreti nel
 terminale e, se le serve, accendere la VPN. Parla semplice, un passo alla volta, e controlla
@@ -50,11 +52,13 @@ La spiegazione per le persone sta in
 
 | Cosa | Dove lo trova o lo crea |
 |---|---|
-| Indirizzo, utente e password di AWS e di Gitea | nella **mail *I tuoi accessi OTO*** che le ha mandato chi amministra: righe già pronte da copiare. Se non ce l'ha, risponde a quella mail o lo chiede a lui: tu non puoi recuperarlo |
-| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | in una **nota LastPass** condivisa da chi amministra (non nella mail, apposta): la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
+| Utente Gitea ed email | nella **mail *I tuoi accessi OTO*** che le ha mandato chi amministra: righe già pronte da copiare. Se non ce l'ha, risponde a quella mail o lo chiede a lui: tu non puoi recuperarlo |
+| Password Gitea | su **LastPass**, scheda **`Gitea > nome.cognome`** (per esempio `Gitea > sara.locatelli`), campo *Password*. Nella mail non c'è, apposta |
+| Indirizzo, utente, password e codice a due fattori della console AWS | su **LastPass**, scheda **`AWS > Nome Cognome`** (nome per esteso: `AWS > Sara Locatelli`). Il primo giorno non servono |
+| Chiave di accesso AWS (*Access key ID* e *Secret access key*) | su **LastPass**, scheda **`AWS > Nome Cognome`**, nel **campo di testo**: due righe, *Access key ID* (inizia con `AKIA`) e *Secret access key*. Nella mail non c'è, apposta: la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
 | Utente Gitea | è nella mail (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo |
 | Email di lavoro | il suo indirizzo `@oto.agency` |
-| File e credenziali della VPN | in una **nota LastPass** condivisa da chi amministra: il file `.ovpn` è allegato alla nota (*Attachments* → si scarica, finisce in *Download*), utente e password della VPN sono scritti nella nota. Il programma è **OpenVPN Connect**, lo installi tu. Se la nota non c'è, lo chiede a chi amministra |
+| File e credenziali della VPN | in una **scheda LastPass *VPN*** condivisa da chi amministra: il file `.ovpn` è allegato alla scheda (*Attachments* → si scarica, finisce in *Download*), utente e password della VPN sono scritti nella scheda. Il programma è **OpenVPN Connect**, lo installi tu. Se la scheda non c'è, lo chiede a chi amministra |
 | Password del Mac (per Homebrew) | è quella con cui accende il Mac |
 | Accesso a un progetto che non vede su Gitea | lo dà chi amministra: dille il nome del progetto da chiedere |
 
@@ -73,7 +77,7 @@ Capisci da solo se sei su Windows o su Mac (`uname -s`, `$OS`): non chiederlo.
 ## Non le chiedi che lavoro fa
 
 Lo ha già deciso chi amministra (deciso il 07/10/2026): se la persona ha la
-mail, le servono tutti i passi; se su LastPass ha anche la nota *VPN*, le
+mail, le servono tutti i passi; se su LastPass ha anche la scheda *VPN*, le
 serve anche la VPN. Chi lavora solo dal pannello del sito non riceve la mail
 e non arriva qui. Alla VPN (passo 5) le chiedi soltanto se fra le note
 LastPass condivise con lei ce n'è una che si chiama *VPN*: se no, salti il
@@ -104,13 +108,15 @@ spiegala in una riga la prima volta.
    continui.
 3. **Niente login su AWS né su Gitea nel browser** (deciso il 07/10/2026):
    le password sono già le definitive e l'MFA di AWS lo attiva chi
-   amministra, con il seme nella nota LastPass. La chiave di accesso **non**
-   la crea: è già nella nota LastPass. Solo se lì non c'è, la crea dalla
-   console AWS (percorso nella tabella qui sopra), entrando con utente e
-   password della mail e il codice a due fattori della nota.
+   amministra, con il seme nella scheda LastPass `AWS > Nome Cognome`. La
+   chiave di accesso **non** la crea: è già nel campo di testo di quella
+   scheda. Solo se lì non c'è, la crea dalla console AWS (percorso nella
+   tabella qui sopra), entrando con utente, password e codice a due fattori
+   della stessa scheda.
 4. **`./configura.sh`**, nel terminale della persona. Chiede utente e
-   password di Gitea e poi i due pezzi della chiave AWS, che lei copia dal
-   la nota LastPass; crea l'accesso a
+   password di Gitea (l'utente dalla mail, la password dalla scheda
+   `Gitea > nome.cognome`) e poi i due pezzi della chiave AWS, che lei copia
+   dal campo di testo della scheda `AWS > Nome Cognome`; crea l'accesso a
    Gitea, configura git, genera la chiave SSH e la carica sul suo profilo
    Gitea (da lì la prende l'amministratore: **non va mandata a nessuno**),
    scrive i nomi dei server in `~/.ssh/config`. Gitea viene prima apposta: è lui a dire chi è la persona. Se sul PC
@@ -119,13 +125,13 @@ spiegala in una riga la prima volta.
    l'amministratore, perché quella chiave va disattivata. Una chiave altrui
    non va mai tenuta "intanto che funziona": tutto quello che la persona fa
    su AWS risulterebbe fatto dall'altro.
-5. **VPN**, solo se su LastPass ha la nota *VPN* (chiediglielo). Prima
+5. **VPN**, solo se su LastPass ha la scheda *VPN* (chiediglielo). Prima
    installi tu OpenVPN Connect: su Windows
    `winget install -e --id OpenVPNTechnologies.OpenVPNConnect`, su Mac
-   `brew install --cask openvpn-connect`. Poi lei, un passo alla volta: apre la nota VPN su LastPass e scarica il file
+   `brew install --cask openvpn-connect`. Poi lei, un passo alla volta: apre la scheda VPN su LastPass e scarica il file
    `.ovpn` allegato; apre OpenVPN Connect → *Upload File* (o *Import
    Profile* → *File*) → *Browse* → il file in *Download*; scrive utente e
-   password della VPN dalla stessa nota, spunta *Save password*, *Connect*.
+   password della VPN dalla stessa scheda, spunta *Save password*, *Connect*.
    È accesa quando l'interruttore diventa verde (*Connected*).
 6. **Dirlo all'amministratore**: risponde alla mail *I tuoi accessi OTO*
    scrivendo «ho finito la configurazione». È il segnale