Uma sessão pesa no servidor? Então você está fazendo algo errado.
Uma sessão no servidor fica na memória o tempo que for necessário ou a política do ASP.NET determinar, se a aplicação não invalidar, e se não acontecer nada errado no meio do caminho que destrua a sessão. Não considere a sessão algo confiável e segura. Não deveria ser comum você perder a sessão, mas não trate como se não pudesse acontecer. Se acontecer frequentemente tem algo muito errado no que está fazendo.
Existem maneiras de mudar isto, inclusive permitir distribuição da sessão, mas acho que não vem ao caso aqui.
Uma forma de garantir mais segurança nos dados que geralmente estaria em sessão é armazenar em banco de dados, assim até uma falha ainda manteria tudo funcionando se você tiver código adequado para lidar com isto, é problema seu fazer corretamente.
Estou falando de segurança no sentido de confiabilidade e persistência não de proteção de dados, principalmente em sessões não considere os dados como seguros, por isso tome cuidado com o que armazenar nelas.
Existe a possibilidade de fazer a sessão em si ser armazenada em banco de dados, mas quase sempre não faz muito sentido porque você pode fazer de outra forma com mais flexibilidade e performance, a sessão padrão é para ser simples mesmo e com alta performance.
Note que a sessão é, e sempre foi, controlada por um cookie, só não tem os dados mantidos nele. Você precisa de alguma identificação para entender que está "conversando com a mesma pessoa". Não vou entrar em detalhes sobre o uso dele, mas é só uma espécie de assinatura da sessão e não a sessão em si. Você pode configurar como essa identificação pode ser formada justamente aí nas opções que começou configurar.
Se deseja dados a serem mantidos entre sessões diretamente no cookie você pode, só não é recomendado. É complicado, muita coisa pode dar errado e é menos seguro. Mesmo configurando do jeito que fez os dados ainda estão no servidor.
Existem outras formas quando o cookie não é interessante ou não funciona em certo cenário, mas em geral são menos seguros.
Existem outras formas de manter estado quando não precisa exatamente de sessão, analise se pode usar.
Adicionalmente tenho que dizer que o padrão do idle é 20 minutos, algumas pessoas consideram isso pouco, você colocou em 10 segundos, o que provavelmente torna a sessão inútil já que é extremamente comum não haver interação por mais de 10 segundos.
Não entendi porque achou que agora a sessão não fica no servidor, continua ficando.
Coloquei no GitHub para referência futura.