Depende. Um evento de logon é realmente apenas estabelecer uma sessão de rede autenticada, e isso pode ser interativamente, como um trabalho em lotes, como um serviço ou através da rede. TFS poderia muito bem ser (e eu admito que não sei) criando várias sessões.