Olá,
Estou montando um banco de dados parecido com o que você quer, a única diferença é que no meu aplicativo, o usuário poderá logar tanto pelo Facebook, como pelo Google ou pelo próprio sistema de autenticação do meu aplicativo, e se as contas (Facebook, Google, meu App) pertencer ao mesmo dono (detectado via e-mail), então eles possuirão um mesmo único usuário no aplicativo. Estou modelando o banco de dados para dar suporte, independentemente de quantos meios de autenticação eu for utilizar.
No meu caso, um mesmo usuário pode ter 2 contas, ex: Facebook, Google. Ou até mesmo 3 contas, ex: Facebook, Google, Meu App.
Explicando como funciona: Cada usuário "user" pode ter um ou mais "identity", cade "identity" é um meio de conexão utilizado pelo usuário. Na tabela "identity", há a coluna "user_id" que aponta para o usuário, a coluna "adapter" indica qual o meio utilizado (facebook,google,meu_app), e em "hash", é armazenado o ID do usuário que é retornado pelo Facebook ou pelo Google quando utiliza as APIs deles. No caso de ser um acesso pelo sistema próprio de login do seu aplicativo (meu_app), então o hash armazenará a senha que ele cadastrou, criptografado com bCrypt, no meu caso.
Na hora do login, você deve adquirir o e-mail de acesso, seja pelo seu aplicativo (inserido pelo seu sistema de login), ou seja pelo Facebook ou Google, a própria API deles retorna o e-mail também. Assim, na lógica do login de seu serviço REST, você deve verificar se esse e-mail já é existente na tabela "user", pois se for, significa que o usuário já existe, certo? Nesse caso você vai pegar o ID desse usuário vai verificar se já existe também um "identity" para o meio de conexão utilizado. Para isso verifique se o "adapter" coincide, se coincidir bem, verifique se o "hash" também coincide, se coincidir, legal! Significa que o usuário já possui uma conta, e já logou utilizando aquele meio. Se não tiver esse "identity", então você deverá cadastrar. O mesmo vale se o usuário não existir, então você terá que cadastrar tanto o usuário, quanto o próprio "identity".
Editando: Falei e falei e acho que não respondi suas dúvidas principais. Então aqui vai:
Para a primeira pergunta, acho que o que eu escrevi acima responde. Coloquei uma imagem também.
Para a segunda dúvida, não vejo necessidade de fazer o usuário preencher username e senha, na verdade não faz sentido, considerando que se o usuário optou fazer login pelo Facebook, é porque ele não quer ficar criando usuário e senha. Além disso, todo esse processo de login é feito em um ambiente seguro do Facebook, a API cuida de tudo isso, você só precisará de cuidar da parte de armazenar o usuário no BD, caso a conexão for de sucesso. O que talvez seja interessante fazer, é uma etapa para finalizar o cadastro, caso deseje saber alguma informação adicional que não é retornado pelo Facebook.
Qualquer dúvida ou sugestão, estarei acompanhando!