Может кому пригодится.
В AD для некоторых объектов хранится время последнего логона, логофа и последней неудачной попытки логона. Эти свойства (lastLogon, lastLogoff, BadPasswordTime) можно смотреть через ADSIedit, ldp или утилитами других производителей (типа DameWare).
Оказывается, есть набор от Microsoft, который добавляет вкладку с дополнительными свойствами в оснастку AD "Users&Computers". Там эти свойства можно поглядеть. Я вот не знал. Хотя набору уже больше года.
К сожалению, эта вкладка добавляется только для объктов типа "Пользователь".