Estoy usando Owin para configurar mi aplicación ASP.NET MVC 5 (.NET 4.5, IIS 7/8) para autenticar en una configuración ADFS de terceros:

app.SetDefaultSignInAsAuthenticationType(WsFederationAuthenticationDefaults.AuthenticationType);

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = WsFederationAuthenticationDefaults.AuthenticationType
});

app.UseWsFederationAuthentication(new WsFederationAuthenticationOptions
{
    Wtrealm = Settings.Auth.Wtrealm,
    MetadataAddress = Settings.Auth.MetadataAddress
});

También tengo un filtro de autenticación personalizado (usado junto conAuthorizeAttribute):

public class OwinAuthenticationAttribute : ActionFilterAttribute, IAuthenticationFilter
{
    public void OnAuthentication(AuthenticationContext filterContext)
    {
        var user = filterContext.RequestContext.HttpContext.User;

        var authenticated = user.Identity.IsAuthenticated;
        if (!authenticated)
        {
            return;
        }

        /* Redirect to profile setup if not already complete */
    }

    public void OnAuthenticationChallenge(AuthenticationChallengeContext filterContext)
    {
    }
}

Esto funciona bien la mitad del tiempo, pero a veces, en el inicio de sesión inicial, se producirá un bucle de redireccionamiento entre la aplicación y el inicio de sesión de ADFS. Esto parece ser específico de la sesión (no ocurre para todos los usuarios a la vez) y una vez que ocurre el bucle de redireccionamiento parece continuar ocurriendo hasta que se actualiza un grupo de aplicaciones.

Cuando se produce el bucle de redireccionamiento, todavía puedo ver (en la pestaña Red de Chrome) lo que parece un token válido emitido por ADFS.

Me está costando aislar la causa raíz, pero lo que he encontrado es que, cuando el bucle no ocurre,user.Identity es de tipoClaimsIdentity yIsAuthenticated estrue. Cuandohace ocurrir,IsAuthenticated esfalse perouser.Identity es de tipoWindowsIdentity.

Todas las formas de autenticación en IIS, excepto Anónimo, están deshabilitadas. IIS Express no se usa en ninguna parte.

¿Qué podría estar causando esto?