Ещё вариант - "пушнуть" обновленную конфигурацию путем остановки служб, очистки кэша папки Health Service на workflow сервере (основной сервер, как правило первый установленный)
В общем, похоже, дело именно в кешах, причем не только на сервере, но и на клиенте. У пользователя можно отнять права, но, пока не очистишь кеш консоли, он имеет доступ.