Членство в ASP.NET зависит от Web, поэтому доступ к нему должен быть получен в контроллере. MHO заключается в том, что сервисный уровень не должен быть жестко связан с сетью. Так что для добавления / удаления пользователей, сделать это через контроллер.
OTOH, на уровне сервиса вы можете прочитать Thread.CurrentPrincipal.Identity
, который не является специфичным для сети, но оказывается полностью совместимым с членством ASP.NET Поэтому, если вам нужен только текущий пользователь, вы можете сделать это, не нарушая разделения интересов.