Получаем отчет об активности пользователя в домене из журналов всех контроллеров домена с помощью PowerShell. Несколько простых скриптов, которые позволяют узнать полную историю авторизации пользователя в домене (с времем и именами/IP адресами компьютеров/ серверов с которых пользователель выполнял вход).
https://winitpro.ru/index.php/2020/04/23/user-domain-login-history-powershell/
https://winitpro.ru/index.php/2020/04/23/user-domain-login-history-powershell/