Several changes to better support subscription policies:

 * hold_subscription() now takes a RequestRecord namedtuple instead of a bunch
   of function arguments.

 * Remove passwords from this record, which are auto/random generated anyway.
   Also remove passwords from the add_member() API.

 * Rename the 'address' field to these APIs to 'email' to be more consistent
   with internal conventions.

Both of these changes introduce backward incompatible changes to the REST
API.  List request JSON representations change 'address' to 'email' and where
previously present, remove the 'password' key.

Also add a SubscriptionWorkflow class which is a little state machine handling
subscription policies.  This is not entirely complete or tested yet.  Add a
SubscriptionPolicy enum to capture the policies.