Windows Server 2008から2012へのセキュリティシステム移行作業の中で、Windows Server 2008の時にあったイベントID：4647(ログオフの開始)がWindows Server 2012では見当たりませんでした。Windows Sever 2012では無くなった、もしくはイベントIDが変わったのでしょうか。
いえ、あると思いますよ。
リモートデスクトップなどで、切断のみだと 4634 のみ記録されます。
サインアウトすると 4647 も記録されるというのが私の理解です。
https://technet.microsoft.com/en-us/library/dn319085.aspx
ご回答ありがとうございました。
もう少しログを蓄積して再度検証してみたいと思います。
