Containers: Podman Rootless via Systemd Quadlets (garantindo isolamento total contra escaladas de privilégio root).
Sobre esta afirmação, se quiser um aviso: não existe essa garantia aí não. Existem várias formas diferentes de ocorrer um container escape e exploits de escalação de privilégios (LPE) que exploram vulnerabilidades do kernel continuam funcionando normalmente dentro de containers.
E em termos de isolamento, container é a solução que tem o menor nível de segurança. Não tem problema usar containers, mas é importante conhecer o risco que está correndo. Não pode se iludir achando que container "garante" alguma coisa.