Acho que este é o bug.
Quando você atualizava os e-mails via SSO porque tinha sso_overrides_email habilitado, a associação automática ao grupo não estava sendo aplicada.
Ela funcionava apenas para a criação inicial de usuários.
Observação: existe todo o conceito “retroativo”, que é extremamente confuso. Provavelmente deveríamos simplesmente removê-lo. Recomendo garantir que a opção “Aplicar a mesma regra de domínio de e-mail para adicionar usuários já registrados” esteja sempre definida, pois vamos removê-la.