Почему сеанс пользователя должен быть полностью закрыт при смене групп?

Это хорошо объяснено здесь. Что такое GID процесса и для чего он служит?

Когда вы меняете группы пользователей, корневой процесс сеанса GUI остается нетронутым, и все вновь запускаемые программы по-прежнему наследуют старые идентификаторы пользователя и группы.

Это можно решить, запустивsu - username-новую оболочку, к которой будут применены новые идентификаторы групп.