1. Enable account management:
Computer Configuration\Windows Settings\Security Settings\Local Policies\Audit Policy
- Audit Account management


2. After that, you'll need to run:

C:\gpupdate /force

When a user changed password, you will find below security event:

For example, test account is pwdchgtst
========================
事件類型: 稽核成功

事件來源: Security

事件類別目錄:  帳戶管理

事件識別碼:     627

日期:             2010/9/6

時間:             下午 04:42:12

使用者:          DomainName\pwdchgtst

電腦:      DCName

描述:

嘗試變更密碼:

目標帳戶名稱:  pwdchgtst

目標網域: DomainName

目標帳戶 ID:    DomainName\pwdchgtst

呼叫者名稱:     pwdchgtst

呼叫者網域:     DomainName

呼叫者登入 ID: (0x0,0x84E2D19)

特殊權限: -

請在 http://go.microsoft.com/fwlink/events.asp 查看說明及支援中心,以取得其他資訊。
========================