ein Login muss nicht unbedingt ins relationale DBMS.
Muss nicht, kann aber vorteilhaft sein.
Eine DB ist nur dann erforderlich, wenn über die Logins ein Protokoll zu führen ist.
z.B. bei einer Serverfarm im Load-Balancing kann das ebenfalls nützlich sein. Wobei man dann vermutlich so etwas wie memcached vorziehen wird.