有没有办法获取用户在过去一周左右登录，注销，锁定或解锁计算机的时间列表，而不添加服务来跟踪它？ Windows是否会长期保留这些信息？
答案 0 :(得分：0)
检查EventLog。我知道登录/注销时间都写在那里。
对于锁定/解锁，我不确定。
答案 1 :(得分：0)
如果您检查事件日志，则可以在审核中查看用户名。它将登录/解锁视为身份验证。如果您可以将其追溯到特定的登录/注销事件（锁定或实际注销等），则可能会有更多内容。
答案 2 :(得分：0)
您可以尝试WMI for Win32_UserAccount活动