Sembra giusto. La soluzione migliore sarebbe fare in modo che il tuo SSO funzioni. Non ha molto senso che non sia “fattibile” che il tuo SSO non funzioni per i tuoi dipendenti, ma forse è per questo che lavoro da solo. 
(Ma i tuoi dipendenti non usano la tua app? Se lo facessero, dovrebbe essere abbastanza facile aggiungere il loro indirizzo email con l’API).
Ma le persone che prendono decisioni sbagliate sono quelle che mi tengono in affari! Quando non sto convincendo le persone a usare le funzionalità esistenti, quello che mi piace davvero fare è far fare a Discourse cose per cui non è stato progettato (come installare Discourse).
Sarei felice di sviluppare, o aiutarti a sviluppare, un plugin che faccia funzionare il percorso /u/admin-login (o un altro) per i membri del tuo team group (che include automaticamente gli utenti con la tua email aziendale), e creare una pagina che possano visitare e inserire la loro email per ottenere un link di accesso.
Forse potrebbe persino reindirizzare automaticamente gli utenti anonimi sulla tua VPN alla pagina di accesso o qualcos’altro per renderlo più agevole per i tuoi dipendenti.