はじめに
OpenVPNのために、久しぶりにeasy-rsaでクライアント証明書を作成しようとしたら、次のエラーが出ました。
# ./easyrsa --ns-cert=YES build-client-full hoge.fuga nopass
Easy-RSA error:
EASYRSA_PKI does not exist (perhaps you need to run init-pki)?
Expected to find the EASYRSA_PKI at: /usr/share/easy-rsa/3/pki
Run easyrsa without commands for usage and command help.
このメッセージが表示される理由は、/usr/share/easy-rsa/3/pki ディレクトリ（シンボリックリンクを含む）が存在しないことが原因です。実際にlsしてみると、pkiディレクトリが無いことがわかります。
# ls -la
合計 56
drwxr-xr-x 3 root root 77 10月 15 10:37 .
drwxr-xr-x 5 root root 63 8月 31 09:22 ..
-rwxr-xr-x 1 root root 48730 2月 2 2019 easyrsa
-rw-r--r-- 1 root root 4651 2月 2 2019 openssl-easyrsa.cnf
drwxr-xr-x 2 root root 98 8月 31 09:22 x509-types
しかし、これまでOpenVPNを運用していた場合、pkiディレクトリが無いということはありえません（どこかにあります）。したがって、復旧することは可能ですので、焦る必要はありません。とりあえず復旧を進めることにします。
※ 間違ってもeasyrsa init-pkiはしないように！！ pkiディレクトリが存在しない状態では無害＆pkiディレクトリが存在している状態で間違って実行してもWARNINGが出ますので、そこで踏みとどまれば実害ありませんが、それを無視して実行すると、pkiディレクトリの内容（これまで発行した証明書等）が初期化されます。
手順
1.pkiディレクトリをバックアップする
pkiディレクトリは、/etc/openvpn/pkiに存在するものとします。
# cd /etc/openvpn/pki
# cp -Rfp pki pki.bak
2.以下のディレクトリへ移動する
なお、以後の手順では、特記無い限り、同じディレクトリで作業を進めることとします。
# cd /usr/share/easy-rsa/3/
3.pkiディレクトリへのシンボリックリンクを作成する
CentOS7の場合、easy-rsaがバージョンアップされると、/usr/share/easy-rsa/以下に新たなバージョン用のディレクトリが作成されます。
# ls -la
合計 4
drwxr-xr-x 5 root root 63 8月 31 09:22 .
drwxr-xr-x. 98 root root 4096 9月 19 05:09 ..
drwxr-xr-x 3 root root 83 1月 26 2018 2.0
lrwxrwxrwx 1 root root 5 8月 31 09:22 3 -> 3.0.6
lrwxrwxrwx 1 root root 5 8月 31 09:22 3.0 -> 3.0.6
drwxr-xr-x 3 root root 29 8月 31 09:22 3.0.3
drwxr-xr-x 3 root root 77 10月 15 10:37 3.0.6
しかし、旧バージョンのディレクトリ上に作成されたファイルやディレクトリ、シンボリックリンクは引き継がれません。
私の場合は、/etc/openvpn/pkiへのシンボリックリンクを作成していましたので、新しいディレクトリへシンボリックリンクを作成しました。
# ln -s /etc/openvpn/pki
4. openssl-easyrsa.cnfをpkiディレクトリへコピーする
# cp -p /usr/share/easy-rsa/3/openvpn-easyrsa.cnf .
5. pkiディレクトリ以下にディレクトリを作成する
revokedディレクトリを作成し、その階層下にcerts_by_serial, private_by_serial, reqs_by_serial ディレクトリを作成します。また、revokedと同じ構成のディレクトリとして、renewedディレクトリを作成します。
# mkdir revoked
# chmod 700 revoked
# cd revoked
# mkdir certs_by_serial
# mkdir private_by_serial
# mkdir reqs_by_serial
# chmod 700 *
# cd ..
# cp -Rp revoked renewed
6.easy-rsa build-client-fullを実行する
/usr/share/easyrsa/3 ディレクトリへ移動し、easyrsa build-client-fullを実行すると、以下のようにエラーなく進むようになります。以後は、
./easyrsa --ns-cert=YES build-client-full hoge.fuga nopass
Using SSL: openssl OpenSSL 1.0.2k-fips 26 Jan 2017
Generating a 2048 bit RSA private key
...............................................................................
.....
writing new private key to '/usr/share/easy-rsa/3/pki/private/hoge.fuga.key.xxxxxxx'
-----
Using configuration from /usr/share/easy-rsa/3/pki/safessl-easyrsa.cnf
Enter pass phrase for /usr/share/easy-rsa/3/pki/private/ca.key: