K8S环境下的容器，是直接运行在物理机上，还是运行在隔离的虚机上比较好？

K8S环境下的容器，是直接运行在物理机上，还是运行在隔离的虚机上比较好。
如果运行在物理机上，那么资源会最大程度的得到利用，但是会牺牲一定的隔离性及安全性，特别是在企业没有规范的CI/CD镜像交付流程时，不同租户的容器会相互影响。
如果运行在虚拟机上，那么隔离性和安全性都会强于前者，但是会增加管理虚机的成本，以及降低资源利用率。
这一块企业该如何去抉择考量呢