способов несколько. самый простой - это посмотреть в журнале событий станции. это будет журнал "безопасность", ключевые слова "аудит успеха", категория задач "logon", код события 4624.
Также в домене целесообразно развернуть syslog сервер для сбора и более удобного представления событий на узлах сети. там настроить фильтры по интересующим событиям и выгружать отчёты в удобной и понятной форме.