Le mieux est de récupéré les infos contenues dans l'event viewer.
Tout utilisateur se logant dans un domaine, laisse une trace dans l'event viewer ;)