Если нагрузка не большая, то можно и в бд, но смысла особого нет.
Из коробки, помимо CookieStore доступны, MemCacheStore (для работы нужен gem dalli), CacheStore.
Подключаются тут: config/initializers/session_store.rb, пример использования CacheStore:
Rails.application.config.session_store :cache_store, key: '_super_app_session_key'