specify tenant to assign roles to