Cela semble juste. La meilleure solution serait de faire fonctionner votre SSO. Il n’est pas très logique qu’il ne soit pas « réalisable » que votre SSO ne fonctionne pas pour vos employés, mais c’est peut-être pour cela que je travaille à mon compte. 
(Mais vos employés n’utilisent pas votre application ? S’ils le faisaient, il devrait être assez facile d’ajouter leur adresse e-mail avec l’API).
Mais les gens qui prennent de mauvaises décisions sont ceux qui me font vivre ! Quand je ne convaincs pas les gens d’utiliser les fonctionnalités existantes, ce que j’aime vraiment faire, c’est obliger Discourse à faire des choses pour lesquelles il n’est pas conçu (comme installer Discourse).
Je serais heureux de développer, ou de vous aider à développer, un plugin qui ferait fonctionner la route /u/admin-login (ou une autre) pour les membres de votre groupe d’équipe (qui inclut automatiquement les utilisateurs avec votre e-mail d’entreprise), et de créer une page qu’ils pourraient visiter et où ils entreraient leur e-mail pour obtenir un lien de connexion.
Peut-être qu’il pourrait même rediriger automatiquement les utilisateurs anonymes sur votre VPN vers la page de connexion ou faire autre chose pour que ce soit plus transparent pour vos employés.