O LDAP não rastreia isso da maneira que você precisa. Ele pode saber quando os usuários autenticam (verifique em seu grupo hipotético), mas não quando eles se autenticam ... ele não saberá quando remover usuários do grupo.
Agora você marcou a queston "Windows", portanto, acrescentarei que uma implementação LDAP do Active Directory especificamente pode lhe dizer isso. No entanto, você precisa consultar o log de eventos do DC em vez do LDAP, você estará limitado a certos tipos de logins. Por exemplo, você pode saber quando os usuários entram e saem dos computadores Windows ingressados no domínio, mas não quando eles fecham um site usando um método de autenticação vinculado ao Active Directory, pois essas informações da sessão somente são mantidas em servidores da web. Você também precisará de um código bastante complexo para emparelhar logins / logouts.