Ok, eu descobri uma solução de trabalho do jeito que eu preciso.
Eu criei um arquivo /etc/lightdm/lightdm.conf.d/kids.conf com conteúdo
[Seat:*]
session-setup-script=/root/bin/tweak-sys-config.sh
tweak-sys-config.sh é executado como root apenas uma vez (ao contrário de .profile que pode ser executado várias vezes) quando o usuário de desktop está cantando com $USER variável de ambiente inicializada para login do usuário.