Você fez o logout dele e depois voltou? O token de segurança é emitido quando você efetua login, portanto, se você adicionar alguém a um novo grupo, ele precisará ter o token reemitido para incluir as permissões desse grupo. Se eles já são membros de um grupo e as permissões em um diretório mudam, eles não precisam sair e voltar.