Depende do que você está procurando. Suponho que você esteja tentando obter uma lista de horários / datas de logons interativos (por exemplo, usuário sentado no computador, usuário usando RDP, etc.) em computadores clientes.
Para fazer isso, você terá que fazer isso monitorando os computadores clientes. "Logon" e "Logoff", com relação aos computadores e conexões remotas do Windows Server, não são como as sessões TELNET ou SSH. Quando um usuário faz logon interativamente no computador cliente que não abre alguma conexão persistente (como uma sessão TELNET ou SSH) em um computador servidor que pode ser monitorado. Você verá eventos de logon em seus computadores servidores quando os usuários fazem logon nos computadores clientes de forma interativa, mas você terá um evento de logoff no computador servidor para um determinado cliente devido ao tempo limite ocioso, muito provavelmente, antes que o usuário realmente efetue logoff de sua sessão interativa no computador cliente.
Supondo que você esteja realizando auditoria de eventos de "Logon" em computadores clientes, poderá analisar seus logs de eventos após o fato ou fazer algo como criar um coletor de log de eventos para monitorar eventos de logon e logoff interativos em cada computador cliente e relatar -los de volta para um banco de dados central.
Em resumo, a monitoração dos tempos de logon interativos nos logs de eventos dos computadores clientes deve ser bastante confiável. Você terá que tomar cuidado com as falhas e reinicializações que podem terminar as sessões dos usuários, portanto, seria necessário algum código de caso especial para observar reinicializações inesperadas (e a funcionalidade para registrar desligamentos inesperados precisaria ser ativada. Eu acho que é apenas em versões do Windows Server, por padrão).