Merge lavoro/mfa-da-admin

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -6,8 +6,8 @@ la mail *I tuoi accessi OTO* che le ha mandato chi amministra (link,
 utenti, password, la frase per te) e, su LastPass, la chiave AWS e, se
 le serve, la VPN. **Il lavoro
 lo fai tu**: installi i programmi, lanci i controlli, le dici cosa cliccare.
-Lei fa solo quello che tu non puoi fare: i login nel browser, e scrivere i
-propri segreti nel terminale. Parla semplice, un passo alla volta, e controlla
+Lei fa solo quello che tu non puoi fare: scrivere i propri segreti nel
+terminale e, se le serve, accendere la VPN. Parla semplice, un passo alla volta, e controlla
 ogni passo prima del successivo.
 
 La spiegazione per le persone sta in
@@ -21,7 +21,13 @@ La spiegazione per le persone sta in
    `configura.sh` nel terminale, con l'input nascosto.
 2. **`configura.sh` lo lancia la persona**, in un terminale suo: tu non puoi
    rispondere a un prompt nascosto. Diglielo con le parole giuste per dove
-   lavora (vedi sotto). Tu lanci tutto il resto: installazioni, `verifica.sh`,
+   lavora (vedi sotto), e **dalle il comando completo, da copiare così
+   com'è**: `cd` nel percorso vero della cartella su quel PC (quello in cui
+   l'hai scaricata, che conosci solo tu: la pagina per le persone non lo
+   scrive apposta) e `./configura.sh`, in un blocco di codice, per esempio
+   `cd "/c/Users/mario/Work/workspace/oto/_OTO_IT_onboard" && ./configura.sh`.
+   Su Windows il percorso va nella forma di Git Bash (`/c/Users/...`), non
+   `C:\...`. Tu lanci tutto il resto: installazioni, `verifica.sh`,
    `progetti.sh`, i comandi di sola lettura.
 3. **Non creare accessi e non chiederli.** Utenti AWS e Gitea, VPN, chiavi
    sui server li crea un amministratore. Se manca qualcosa, dillo con
@@ -45,7 +51,6 @@ La spiegazione per le persone sta in
 | Cosa | Dove lo trova o lo crea |
 |---|---|
 | Indirizzo, utente e password di AWS e di Gitea | nella **mail *I tuoi accessi OTO*** che le ha mandato chi amministra: righe già pronte da copiare. Se non ce l'ha, risponde a quella mail o lo chiede a lui: tu non puoi recuperarlo |
-| Codice dal telefono (MFA) di AWS | console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Multi-factor authentication (MFA)* → *Assign MFA device* → *Authenticator app*. Serve un'app di autenticazione sul telefono (Google Authenticator, Microsoft Authenticator o simili): se non ce l'ha, prima la installa dallo store |
 | Chiave di accesso AWS (*Access key ID* e *Secret access key*) | in una **nota LastPass** condivisa da chi amministra (non nella mail, apposta): la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
 | Utente Gitea | è nella mail (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo |
 | Email di lavoro | il suo indirizzo `@oto.agency` |
@@ -97,15 +102,12 @@ spiegala in una riga la prima volta.
    dentro la cartella: `git clone https://git.oto-farm.com/admin/_OTO_IT_onboard.git
    ~/Work/workspace/oto/_OTO_IT_onboard` (è pubblico, non ha segreti) e da lì
    continui.
-3. **Il login su AWS nel browser**, lo fa lei. Le password della mail di
-   benvenuto sono già le definitive (dal 07/10/2026): né AWS né Gitea
-   chiedono di cambiarle, e su Gitea dal browser non c'è niente da fare.
-   - **AWS**: entrare dall'indirizzo della mail di benvenuto (*IAM user*,
-     utente e password) e attivare
-     l'MFA. I percorsi esatti sono nella tabella qui sopra: dàglieli un passo
-     alla volta. La chiave di accesso **non** la crea: è già nella nota
-     LastPass. Se lì non c'è, la crea adesso, e lascia aperta la pagina: la
-     parte segreta si vede una volta sola.
+3. **Niente login su AWS né su Gitea nel browser** (deciso il 07/10/2026):
+   le password sono già le definitive e l'MFA di AWS lo attiva chi
+   amministra, con il seme nella nota LastPass. La chiave di accesso **non**
+   la crea: è già nella nota LastPass. Solo se lì non c'è, la crea dalla
+   console AWS (percorso nella tabella qui sopra), entrando con utente e
+   password della mail e il codice a due fattori della nota.
 4. **`./configura.sh`**, nel terminale della persona. Chiede utente e
    password di Gitea e poi i due pezzi della chiave AWS, che lei copia dal
    la nota LastPass; crea l'accesso a

README.md

@@ -12,8 +12,8 @@ scaricano i progetti stessi da AWS, con il tuo accesso personale.
 
    > Scarica il progetto https://git.oto-farm.com/admin/_OTO_IT_onboard e prepara il mio PC per OTO
 
-Il resto lo fa Claude: installa i programmi e ti dice cosa cliccare. Tu fai i
-login nel browser e scrivi le tue chiavi nel terminale quando te lo chiede.
+Il resto lo fa Claude: installa i programmi e ti dice cosa cliccare. Tu
+scrivi le tue chiavi nel terminale, con il comando che ti da' Claude.
 Utenti e password sono nella mail *I tuoi accessi OTO* che ti ha mandato chi
 amministra; la chiave AWS e la VPN in una nota LastPass condivisa con te.