Das klingt richtig. Die beste Lösung wäre, dafür zu sorgen, dass Ihr SSO funktioniert. Es ergibt nicht viel Sinn, dass es für Ihr SSO “nicht machbar” ist, für Ihre Mitarbeiter zu funktionieren, aber vielleicht ist das der Grund, warum ich mich selbst unterfordere. 
(Aber Ihre Mitarbeiter nutzen Ihre App nicht? Wenn sie es täten, sollte es einfach genug sein, ihre E-Mail-Adresse mit der API hinzuzufügen).
Aber Leute, die schlechte Entscheidungen treffen, halten mich im Geschäft! Wenn ich Leute nicht davon überzeuge, bestehende Funktionen zu nutzen, mache ich Discourse am liebsten Dinge, für die es nicht konzipiert ist (wie die Installation von Discourse).
Ich würde mich freuen, ein Plugin zu entwickeln oder Ihnen bei der Entwicklung zu helfen, das die Route /u/admin-login (oder eine andere) für Mitglieder Ihres Teams (dazu gehören automatisch Benutzer mit Ihrer Firmen-E-Mail) zum Laufen bringt und eine Seite erstellt, die sie besuchen und ihre E-Mail eingeben können, um einen Login-Link zu erhalten.
Vielleicht könnte es sogar anonyme Benutzer in Ihrem VPN automatisch auf die Login-Seite umleiten oder etwas anderes tun, um es für Ihre Mitarbeiter nahtloser zu gestalten.