Preciso de uma API Identity para utilizar o fluxo Password de OAuth?

Nas releases mais recentes da Plataforma (a partir da 1909.1.2.0), sim. Se você tiver uma API que requeira o fluxo Password, é necessário criar uma API Identity, vinculá-la a essa API e implantá-la no mesmo ambiente. Veja a documentação referente à API Identity aqui.

Se você utilizar releases anteriores à 1901.1.2.0, é o OAuth Directory que é responsável pela autenticação no fluxo Password. Você pode ver a documentação sobre ele aqui.