Geralmente eu deixo as roles no banco mesmo e quando o user loga eu coloco as que ele possui no jwt.

pensei em fazer isso mesmo