Вы можете использовать специальную папку App_Data для хранения файла настроек. Прямой доступ к этой папке запрещен ASP.NET. Что касается формата этого файла, XML кажется хорошим форматом. Но какой бы формат вы ни выбрали, убедитесь, что вы предоставляете строго типизированный API, который позволит вам получить доступ к этим настройкам, чтобы вы не обнаружили синтаксический анализ XML в середине действия контроллера. В Application_Start вы можете проанализировать его и сохранить значения в некоторой структуре, которая будет доступна через все приложение. И поскольку именно в Application_Start вы делаете это, вы можете использовать его вместе со своей любимой структурой DI для передачи этих значений всем классам, которые могут в них нуждаться, таким как контроллеры и хранилища.