К сожалению, вариант с SSO отпадает, так как он не будет жизнеспособным решением (по крайней мере для компании). Изменение групп тоже не имеет смысла, поскольку намного сложнее впоследствии восстановить эти группы.
Тем не менее, спасибо за вашу помощь.