Конечно нужна авторизация.
В PHP скрипте происходит вся магия. Если авторизован начальник, то у него одни действия с базой данных, если пользователь, то - другие.
В базе данных, если отпуск может быть только один на человека, то хватит одной таблицы на все. Если же человек может указать несколько интервалов отпусков, то нужно две таблицы - все пользователи и отпуска.
В таблице пользователей - имя, пароль, статус начальника. В таблице отпусков - дата начала, дата конца, id пользователя. Примерно так.
Простой
