Credo che questo sia il bug.
Quando aggiornavi le email tramite SSO perché avevi abilitato sso_overrides_email, l’adesione automatica ai gruppi non veniva applicata.
Funzionava invece per la creazione iniziale degli utenti.
Nota: il concetto di “retroattività” è estremamente confuso; dovremmo probabilmente eliminarlo. Ti consiglio di assicurarti che l’opzione “Applica la stessa regola del dominio email per aggiungere gli utenti già registrati” sia sempre impostata, poiché stiamo per rimuoverla.