Алексей Лебедев

Насчет авторизации всегда проще проверить какой-нибудь авторизационный ключ. Чем проверять логин и пароль. Но это не критично.

Хранить подобное лучше в ОП. id клиента - ключ - роль

Пишите на ASP.NET, это не плохая технология. На ней напишите лучше, чем на NodeJS, если будете изучать последний пару месяцев.

Еще хорошо бы отдельный сервер для статики или CDN.

Ну как вариант. Когда пользователь заходить в игру, то он получает все данные о постройках зданий.
Например:
замок построится через 20 минут.
войска наберутся через 10 минут.
ресурсы появятся через 15 минут.

Проходит это время и все это появляется на клиенте.

Но иногда время на клиенте идет медленнее, чем на сервере.
Более ресурсоемкий и надежный вариант - это отправка запросов на сервер каждые N секунд.
Игрок отправляет запрос и если что-то построилось, то выводится на клиенте.