Группы SSO без полного переопределения

[Falco]

@sam

Помимо groups, вы также можете указывать членство в группах в полезной нагрузке SSO, используя атрибуты add_groups и remove_groups, независимо от опции sso overrides groups.

add_groups — это список названий групп, разделённый запятыми, в которых мы гарантируем, что пользователь будет состоять.
remove_groups — это список названий групп, разделённый запятыми, из которых мы гарантируем, что пользователь не будет состоять.

Параметры add и remove делают именно то, что вам нужно.