Office 365: errore "un altro account dell'organizzazione è già connesso" — come risolverlo

Capita più spesso di quanto dovrebbe: avvii Word o Outlook su un PC aziendale, provi ad accedere col tuo indirizzo Microsoft 365 e ottieni il messaggio

“Non è possibile aggiungere account. Un altro account dell’organizzazione è già connesso a questo computer.”

(Variante in inglese: “You can’t sign in here with a work or school account. Use your personal Microsoft account instead.”)

Il PC sembra “bloccato” su un account che magari non c’è nemmeno più (un dipendente ex, un account demo, un tenant precedente). Le app Office si aprono ma non si attivano, OneDrive non sincronizza, Teams non parte. È uno degli errori più frustranti perché sembra un problema di credenziali quando in realtà è un problema di registro AAD su Windows.

Vediamo cosa c’è dietro e come si risolve, sia lato utente sia lato amministratore di tenant.

Cosa significa davvero l’errore

Windows mantiene un registro degli account aziendali (Work or School Account) associati al dispositivo. Questo registro è gestito da due componenti:

• WAM (Web Account Manager) — la cache token Entra ID locale.
• Cloud AP (Cloud Authentication Provider) — il provider di autenticazione che lega il PC a Entra ID.

Quando un utente fa login per la prima volta con un account Microsoft 365 in Office o quando il PC viene aggiunto a Entra ID via Autopilot/Azure AD Join, Windows scrive l’identità del tenant in queste cache. Il sistema permette un solo tenant primario per PC: se provi ad aggiungere un account di un altro tenant, blocca con il famoso errore.

Cause più frequenti dell’errore in azienda:

• Il PC era Azure AD Joined a un tenant precedente (es. del vecchio fornitore IT, dell’azienda di proprietà prima di un cambio gestione) e non è mai stato “ripulito”.
• Un utente aveva fatto login con un account *.onmicrosoft.com di prova e ora prova con l’account aziendale nome@miaazienda.it.
• Dopo una migrazione di tenant (es. fusione di società, cambio dominio), il PC conserva il riferimento al vecchio tenant.
• L’utente ha ricevuto un PC ricondizionato non resettato correttamente.

Soluzione lato utente: pulizia in 5 minuti

Se hai accesso amministrativo al PC (oppure se l’IT te lo concede), il fix è rapido. Funziona su Windows 11 22H2+ e Windows 10 22H2.

Passo 1 — rimuovere l’account dalle impostazioni Windows

1. Apri Impostazioni → Account → Accedi a un’azienda o un’istituzione di istruzione.
2. Verifica se compaiono account aziendali nella lista. Se sì:
   • Clicca sull’account “fantasma”.
   • Disconnetti → conferma.
3. Riavvia il PC.

Nel 60% dei casi questo basta. Se persiste, continua col Passo 2.

Passo 2 — pulire la cache WAM

1. Chiudi tutte le app Office.
2. Apri Gestione credenziali (cerca “Credential Manager” o “Gestione credenziali” dal menu Start).
3. Sezione Credenziali di Windows → cerca tutte le voci che iniziano con:
   • MicrosoftOffice16_Data:...
   • OneDrive Cached Credential
   • MicrosoftAccount:user=...
   • voci che contengono il vecchio tenant o live.com.
4. Per ogni voce Rimuovi.
5. Riavvia il PC.
6. Riapri Outlook o Word e prova ad accedere con l’account corretto.

Passo 3 — comando dsregcmd per il caso difficile

Se i passi 1-2 non bastano, il PC ha ancora un join Entra ID residuo. Da PowerShell admin:

dsregcmd /status

Cerca queste righe nell’output:

AzureAdJoined : YES/NO
WorkplaceJoined : YES/NO
TenantId : (un GUID)
TenantName : (nome tenant)

Se AzureAdJoined : YES e il TenantName è quello sbagliato, il PC è ancora joinato al vecchio tenant. Il comando per uscire:

dsregcmd /leave

Poi riavvia il PC. Al riavvio il PC non è più legato a nessun tenant, e Office accetta il login del nuovo account. Attenzione: questo comando rimuove anche eventuali policy Intune applicate al PC; va fatto con coordinamento IT se il PC è gestito da MDM.

Soluzione lato amministratore tenant: rollout via Intune

Se l’errore colpisce più PC (es. dopo una migrazione tenant o un cambio fornitore IT), conviene non andare PC per PC ma fare la pulizia in modo centralizzato.

Script di pulizia via Intune

Creare un Win32 app o PowerShell script in Intune che esegua la pulizia automatica:

# Script "Reset Office Cache" — esegue su sistema, contesto utente
$ErrorActionPreference = "SilentlyContinue"

# 1. Termina Office in esecuzione
Get-Process WINWORD,EXCEL,POWERPNT,OUTLOOK,ONENOTE,TEAMS,OneDrive | Stop-Process -Force

# 2. Cancella cache identity Office
Remove-Item "$env:LOCALAPPDATA\Microsoft\Office\16.0\Licensing" -Recurse -Force
Remove-Item "$env:LOCALAPPDATA\Microsoft\OneAuth" -Recurse -Force
Remove-Item "$env:LOCALAPPDATA\Microsoft\IdentityCache" -Recurse -Force

# 3. Cancella WAM token cache
Remove-Item "$env:LOCALAPPDATA\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy\AC\TokenBroker" -Recurse -Force

# 4. Log esito
Add-Content "$env:TEMP\office-reset.log" "$(Get-Date) - Cache cleaned"

Distribuirlo a un device group di test, verificare, poi rollout su tutta la flotta. Effetto: al prossimo accesso utente le app Office chiedono nuovamente il login — questa volta accettando l’account giusto.

Verifica del join AAD su tutti i PC

Per identificare i PC ancora joinati al vecchio tenant, Intune admin center → Devices → Windows → filtra per Trust type = Azure AD joined. Esporta CSV, confronta il Primary user UPN con il dominio aziendale corretto. I PC con UPN del vecchio dominio sono candidati a dsregcmd /leave + rejoin al tenant nuovo via Autopilot.

Come prevenire l’errore in futuro

L’errore è quasi sempre conseguenza di un passaggio sporco fra due stati: vecchio tenant → nuovo tenant, vecchio PC → ricondizionato → nuovo dipendente, account demo → produzione. Tre azioni preventive:

1. Reset del PC fra un utente e l’altro — sempre, non saltare il Sysprep o l’Autopilot reset fra dipendenti. Una flotta gestita con Autopilot e Intune può fare il reset in 20 minuti con risultato pulito.
2. Procedure documentate di offboarding — quando un dipendente esce, le sue identità Entra ID vanno disabilitate e i suoi PC devono essere “puliti” prima di riassegnarli.
3. Account *.onmicrosoft.com solo per amministrazione — i dipendenti non devono mai accedere alle app Office con account nome@miaazienda.onmicrosoft.com quando il dominio personalizzato miaazienda.it è disponibile.

Quando ha senso un servizio gestito

Sotto i 30-40 PC questi piccoli incidenti si gestiscono caso-per-caso. Oltre i 50 PC servono procedure centralizzate Intune + un IT che monitora regolarmente la sanità del tenant. È il caso d’uso tipico per Assistenza Microsoft 365 gestita: copertura di tutti gli endpoint con MDM Intune, procedure di onboarding/offboarding, intervento sui ticket Office 365. Discovery gratuita: contattaci.