Coisas como essa são controladas pelo Polkit (seu nome oficial, mas muitas vezes referido pelo seu antigo nome PolicyKit).
Essa ferramenta facilita que usuários não-root realizem determinadas ações no sistema que, de outra forma, exigiriam root, e o desligamento é uma das ações que geralmente é configurada para conceder a usuários regulares. Como funciona, o software do usuário chama uma determinada API do Polkit solicitando o desligamento e o Polkit verificará se esse usuário tem a autoridade para executar essa ação e, se for o caso, facilitará o processo. O Polkit também pode solicitar autenticação por meio de um agente de autenticação se o usuário não tiver autoridade para realizar essa ação.
Mais informações sobre a arquitetura do Polkit aqui: