Depois de STTR é muito bom explicações sobre como obter as datas do último login de existente (incluindo deficientes) usuários do AD e como recuperar a lista de usuários excluídos, uma questão permanece.
Contanto que os registros sejam preservados por tempo suficiente, é possível obter a data em que algum usuário excluído autenticado efetuou login no AD pela última vez? Como?
Se você estiver executando com o Domain Functional Level 2008 e tiver a Lixeira do Active Directory habilitada, este comando do powershell funcionará para contas excluídas nos últimos 6 meses:
[datetime]::FromFileTime((Get-ADObject -Filter {SamAccountName -like "joeuser"} –IncludeDeletedObjects -prop *).lastLogonTimestamp)
Substitua o nome de usuário de joeuser