add role + revoke/grant