Hallo Wilfried!
Ich finde die Anmeldeinformation in der samba-log-Datei.
Dazu habe ich folgendes gemacht:
- zusätzliche Einträge in /etc/samba/smb.conf unter [global]
log level = auth_audit:3
(weniger als 3 ergibt keine Einträge)
max log size = 100000
(für 100 MB)
(siehe Benutzerauthentifizierungen protokollieren: Wer-Wann-Wo - #8 von Rupprecht )
(und LMN 7.x Was loggt Ihr? - #18 von Michael ) - anschließend samba restarten mit # systemctl restart samba-ad-dc.service
- es werden dann alle Authentifizierungen (Rechner, Cloud, Moodle, …) geloggt nach /var/log/samba/log.samba und man kann das gewünschte Filtern.
Ist zwar nicht so übersichtlich, wie die „user.log“, weiß dafür aber viel mehr. 
Gruß - Rainer