No estoy seguro de por qué estás realizando las solicitudes a /users/by-external/<external_id>.json y /admin/users/sync_sso. El flujo normal sería simplemente redirigir al usuario a /session/sso_login con la carga útil de SSO establecida como parámetros de consulta en la URL. Hay detalles sobre para qué se utiliza la ruta sync_sso aquí: Sync DiscourseConnect user data with the sync_sso route.
Realizar una solicitud a /users/by-external/<external_id> con un external_id que aún no está asociado a un usuario de Discourse debería devolver un error 404 (no encontrado). Si el external_id sí está asociado a un usuario de Discourse, se debe devolver el usuario.