add ensure_role helper