Isso parece certo. A melhor solução seria fazer com que seu sso funcione. Não faz muito sentido que não seja “viável” que seu sso não funcione para seus funcionários, mas talvez seja por isso que eu trabalho sozinho. 
(Mas seus funcionários não usam seu aplicativo? Se usassem, deveria ser fácil o suficiente adicionar o endereço de e-mail deles com a API).
Mas as pessoas que tomam más decisões são quem me mantém no negócio! Quando não estou convencendo as pessoas a usar recursos existentes, o que eu realmente gosto de fazer é fazer o discourse fazer coisas para as quais não foi projetado (como instalar discourse).
Ficarei feliz em desenvolver, ou ajudá-lo a desenvolver, um plugin que faria a rota /u/admin-login (ou outra) funcionar para membros de sua equipe (que inclui automaticamente usuários com seu e-mail corporativo) e criaria uma página que eles poderiam visitar e inserir seu e-mail para obter um link de login.
Talvez pudesse até redirecionar usuários anônimos em sua vpn para a página de login automaticamente ou algo mais para torná-lo mais transparente para seus funcionários.